为什么设备加密很重要

智能手机和笔记本电脑中保存着邮件、照片、密码、金融信息等大量个人数据。设备丢失或被盗谁都可能遇到，未加密的设备一旦落入他人之手，其中保存的数据就会全部被轻易读取。

设备加密是通过加密静态数据（data at rest），使其在没有正确凭据的情况下无法读取的技术。即使设备被盗，只要处于关机或锁定状态，就能让拆下存储器直接读取内容的手法失效。反过来说，它能保护的只有处于保存状态的数据。从已登录的画面上被带走的信息，或者正确密码被他人知晓后造成的损害，加密都无法防止。

加密的工作原理

设备加密中广泛使用 AES（高级加密标准）。AES 是美国国家标准与技术研究院（NIST）作为 FIPS 197 标准化的对称密钥加密算法，规定了 128 / 192 / 256 位三种密钥长度，默认使用哪种密钥长度则因操作系统和设备世代而异。

这里需要把握的是，决定实际防护力的并不是算法本身，而是如何保护密钥。加密存储器的密钥由密码以及设备内的安全芯片保护。也就是说，如果只设置了 4 位的简单密码，那么无论使用多强的加密算法，突破口都仍然敞开在那一侧。

全盘加密

全盘加密（FDE：Full Disk Encryption）是加密整个存储器的方式。包括操作系统、应用程序和用户数据在内的所有数据都属于保护对象。启动或登录时的身份验证会取出加密密钥，此后每次对存储器读写时都会自动进行解密和加密。由于并不会把磁盘内容改写回明文，因此通过验证之后，保存着的数据仍然处于加密状态。

基于文件的加密

基于文件的加密（FBE：File-Based Encryption）是为每个文件使用不同密钥进行加密的方式。它的优点是，在重启后尚未解锁一次的状态下，也能先运行闹钟和来电通知等部分功能。Android 从 7.0 起可以使用这种方式。

各操作系统的加密功能

Windows BitLocker

Windows 的驱动器加密分为名称不同的两个功能。混淆这一点，就会出现"我的电脑上找不到 BitLocker"这样的误解。

  • BitLocker 是 Pro / Enterprise / Education 版的功能，可以从控制面板的"BitLocker 驱动器加密"进行细致控制
  • Home 版没有 BitLocker 的管理界面，但在满足要求的设备上可以使用简化版的"设备加密"。它通过"设置"→"隐私和安全"→"设备加密"操作
  • 与 TPM（可信平台模块）配合保护密钥的配置是基本形式，不过 BitLocker 也可以选择不使用 TPM，而在启动时要求 PIN、密码或 USB 密钥的配置
  • Windows 11 24H2 以后，在全新安装的环境中"设备加密"会默认启用。有可能在没有意识到的情况下就已经加密，因此请先确认恢复密钥的保管位置
  • "设备加密"会在使用 Microsoft 账户或工作账户登录时启用，恢复密钥也会寄存到该账户。如果只使用本地账户，就不会自动启用，需要自己确认设置
  • 请把恢复密钥保存在 Microsoft 账户或 USB 驱动器中，或者打印出来存放在安全的地方
  • 一旦丢失恢复密钥，就可能永久失去对数据的访问权

macOS FileVault

FileVault 是 macOS 标准搭载的全盘加密功能。

  • 可以通过"系统设置"→"隐私与安全性"→"FileVault"启用
  • 恢复密钥可以选择保存到 iCloud 账户，也可以自己记录保管。它会以 24 个字母数字字符显示，抄写时请注意不要写错
  • 在搭载 Apple 芯片或 T2 芯片的 Mac 上，即使关闭 FileVault，存储器本身也是加密的。不过在那种状态下，密钥只由设备内的信息保护，因此启用 FileVault、把密钥与用户密码绑定才有意义

iOS 加密

iOS 设备在设置密码的时点就会自动启用数据保护（加密）。

  • 加密和解密由专用的硬件电路处理。密钥长度因搭载芯片的世代而异，A14 / M1 以后使用 256 位，A9 至 A13 使用 128 位
  • Secure Enclave（专用安全处理器）保护加密密钥，防止暴力破解攻击
  • 设置 6 位或更多位数的密码，或者字母数字密码，可以提高加密强度
  • 启用"抹掉数据"选项后，密码输入失败 10 次就会自动抹掉设备中的数据

Android 加密

Android 设备的加密方式因版本而异。

  • 较早的世代使用加密整个存储器的全盘加密，Android 6（Marshmallow）要求满足一定加密处理性能的设备在完成初始设置的时点就已经启用该功能
  • Android 7（Nougat）以后可以使用基于文件的加密（FBE），从新设备不再允许使用全盘加密的 Android 10 起采用这种方式
  • 加密状态可以从"设置"→"安全"确认。项目名称和层级因厂商和机型而异
  • SD 卡的加密有时需要另外设置 - 请把保存在 SD 卡上的数据也纳入保护对象

将这些措施与智能手机隐私设置结合使用，全面加强移动设备安全。

重要注意事项

设备加密是强有力的保护手段，但并非万能。请留意以下几点。

备份恢复密钥

BitLocker 和 FileVault 的恢复密钥，是无法访问设备时的最后手段。一旦丢失恢复密钥，自己也会无法访问数据。请把恢复密钥保管在与设备分开的安全场所。作为密码管理的一环，恢复密钥的管理同样重要。

性能影响

由于加密和解密由专用指令或电路承担，因此不容易出现能够体感到的速度下降。AES 专用指令在 Intel 上于 2010 年的 Westmere 世代（AES-NI）引入，在 ARM 上则作为 2011 年发表的 ARMv8-A 的加密扩展提供。此后设计的 PC 和智能手机大多具备这一支持机构。反过来，在不具备加密支持的老旧设备或低价设备上，处理负荷也可能体现在使用感受上。

加密的局限性

加密在设备处于锁定状态时对数据保护有效。但在设备已解锁的状态下，无法保护数据免受恶意软件和非法访问的侵害。重要的是把加密与云存储安全以及恶意软件防护结合起来，构建多层防御。

总结：用加密守护设备中的数据

设备加密是为丢失和被盗做准备时的基础对策。请启用操作系统标准搭载的加密功能，并安全保管恢复密钥。除加密之外，保护通信路径也很重要。

请用 IP 确认酱查看连接的安全评分，把目光也投向经由网络的信息泄露风险，而不只是设备本身。

相关术语

设备加密 对智能手机或电脑存储的数据进行加密，在设备丢失或被盗时保护数据的功能…… MDM（移动设备管理） 一种企业解决方案，使组织能够集中管理、监控…… 云存储安全 确保存储在云端的数据的机密性、完整性和可用性的一系列措施…… 数据加密 使用加密算法将可读的明文数据转换为不可读的密文的过程…… 数据销毁（安全删除） 通过特定方法使存储介质上的数据永久不可恢复的过程……

常见问题

智能手机的加密默认就是开着的吗？

iPhone 在设置密码的时点就会启用数据保护（加密）。Android 使用基于文件的加密，从新设备不再允许使用全盘加密的 Android 10 起采用这种方式。更旧的设备有时需要手动启用，加密状态可以在设置的安全项中确认。

加密会让手机变慢吗？

由于加密和解密由专用指令或电路承担，因此不容易出现能够体感到的速度下降。AES 专用指令在 Intel 上于 2010 年的 Westmere 世代（AES-NI）引入，在 ARM 上则于 2011 年发表的 ARMv8-A 中提供，此后设计的设备大多具备这一支持机构。在不具备加密支持的老旧设备或低价设备上，处理负荷也可能体现在使用感受上。