固件密码与FileVault协同防御：固件密码封锁非默认启动路径，FileVault加密启动卷数据，二者结合形成三重物理安全门槛，需按顺序启用并妥善保管恢复凭证。
MacOS系统固件密码（Firmware Password）与全盘加密（FileVault）配合使用，能显著提升设备物理层面的安全防护能力。单独启用FileVault只能加密磁盘数据，但无法阻止攻击者通过外接启动盘、恢复模式或目标磁盘模式绕过登录界面直接访问硬盘；而固件密码正是用来封锁这些启动路径的关键防线。
固件密码：守住启动入口的第一道关
固件密码作用于Mac启动早期阶段，控制是否允许从非默认启动盘（如USB安装器、网络启动、恢复分区等）加载操作系统。它独立于用户账户密码和FileVault密钥，存储在T2芯片或Apple Silicon的Secure Enclave中，重启后即生效。
- 启用前需以管理员身份登录，打开“启动安全性实用工具”（Intel Mac）或“启动安全性设置”（Apple Silicon Mac）
- 必须关闭FileVault再设置固件密码（部分机型要求），否则可能触发启动异常；设好后再重新开启FileVault
- 密码不支持特殊字符，建议用易记但难猜的组合（如“Luna42Star”），并务必记录在安全位置——丢失后重置需联系Apple授权服务提供商
FileVault：确保数据静止状态下的不可读性
FileVault对整个启动卷进行XTS-AES-128加密，密钥由用户登录密码派生，并受固件密码保护的启动流程约束。只有通过合法启动路径进入macOS后，系统才尝试解密卷宗。这意味着即使硬盘被拆下挂到另一台Mac上，没有对应密钥+正确启动方式，数据仍无法访问。
- 开启方式：系统设置 > 隐私与安全性 > FileVault > 开启，按提示选择解锁方式（推荐“iCloud账户恢复”+本地恢复密钥双备份）
- 加密过程后台运行，不影响日常使用；首次启用后建议重启一次，确认登录界面显示锁形图标，表示加密已激活
- 避免仅依赖iCloud恢复——若Apple ID被接管，攻击者可能申请重置，因此本地保存的恢复密钥（48位字母数字串）应离线存于可信位置
协同防御的实际效果与注意事项
两者结合后，攻击者面对一台关机/锁定的Mac，将面临三重门槛：无法绕过固件验证启动第三方系统 → 无法跳过登录界面直接挂载磁盘 → 即使暴力进入恢复模式也无法关闭FileVault或导出明文数据。这种纵深防御对防范设备丢失、维修场景下的数据窃取非常有效。
- Apple Silicon Mac还需注意“启动磁盘”设置权限：在“启动安全性设置”中将“允许启动介质”设为“不允许”，才能完全禁用外部启动
- 固件密码不能替代FileVault，反之亦然——只开固件密码，硬盘数据仍可被读取；只开FileVault，恢复模式下仍可能重置账户或提取密钥缓存
- 企业环境中建议通过MDM（如Jamf、Kandji）统一部署并审计这两项配置，防止用户误关闭或遗忘密码
不复杂但容易忽略：固件密码和FileVault不是“开了就万事大吉”，关键在于启用顺序、恢复凭证保管和启动策略的一致性。只要配置得当，它们就是Mac物理安全最扎实的组合之一。
