在 macOS 中使用文件保险箱加密宗卷
Mac 电脑会提供文件保险箱，这是一项内建加密功能，用于保护所有静态数据安全。文件保险箱使用 AES-XTS 数据加密算法保护内部和可移除储存设备上的完整宗卷。
搭载 Apple 芯片的 Mac 上的文件保险箱通过使用宗卷密钥的数据保护 C 类来实施。在搭载 Apple 芯片的 Mac 和搭载 Apple T2 安全芯片的 Mac 上，直接连接到安全隔区的加密内部储存设备会使用安全隔区的硬件安全性功能和 AES 引擎的功能。用户在 Mac 上启用文件保险箱后，启动过程中将需要其凭证。
【注】对于 (1) 搭载 T2 芯片之前的机型，或 (2) 带有最初未与 Mac 随售的内置储存设备，或 (3) 带有连接的外置储存设备的 Mac 电脑：文件保险箱启用后，所有现有文件和后续写入的任何数据都会加密。如果数据是在文件保险箱启用前添加，之后又被删除，则不会加密，且可能借助取证数据恢复工具进行恢复。
文件保险箱已打开的内部储存设备
如果没有有效的登录凭证或加密恢复密钥，即使物理储存设备被移除并连接到其他电脑，内置 APFS 宗卷仍保持加密状态，以防止未经授权的访问。在 macOS 10.15 中，此类宗卷同时包括系统宗卷和数据宗卷。从 macOS 11 开始，系统宗卷通过签名系统宗卷 (SSV) 功能进行保护，而数据宗卷仍通过加密进行保护。搭载 Apple 芯片的 Mac 以及搭载 T2 芯片的 Mac 通过构建和管理密钥层级实施内部宗卷加密，基于芯片内建的硬件加密技术而构建。此密钥层级的设计旨在同时实现四个目标：
请求用户密码用于加密
保护系统免受针对从 Mac 上移除的储存媒介的直接暴力破解攻击
提供擦除内容的快速安全的方法，即通过删除必要的加密材料
让用户无需重新加密整个宗卷即可更改其密码（同时也会更改用于保护其文件的加密密钥）
在搭载 Apple 芯片的 Mac 和搭载 T2 芯片的 Mac 上，所有文件保险箱密钥的处理都发生在安全隔区中；加密密钥绝不会直接透露给 Intel CPU。所有 APFS 宗卷默认使用宗卷加密密钥创建。宗卷和元数据内容使用此宗卷加密密钥加密，该密钥使用密钥加密密钥 (KEK) 封装。文件保险箱启用时，KEK 受用户密码和硬件 UID 共同保护。
文件保险箱已关闭的内部储存设备
在搭载 Apple 芯片或搭载 T2 芯片的 Mac 上，如果在“设置助理”初次运行过程中未启用文件保险箱，宗卷仍会加密，但宗卷加密密钥仅由安全隔区中的硬件 UID 保护。
如果稍后启用了文件保险箱（由于数据已加密，该过程可立即完成），反重放机制会帮助阻止旧密钥（仅基于硬件 UID）被用于解密宗卷。然后宗卷将受用户密码和硬件 UID 共同保护（如前文所述）。
删除文件保险箱宗卷
删除宗卷时，其宗卷加密密钥由安全隔区安全删除。这有助于防止以后使用此密钥进行访问（即使是通过安全隔区）。另外，所有宗卷加密密钥都使用媒介密钥封装。媒介密钥不提供额外的数据机密性，而是旨在启用快速安全的数据删除，如果缺少了它，则不可能进行解密。
在搭载 Apple 芯片的 Mac 和搭载 T2 芯片的 Mac 上，媒介密钥一定是由受安全隔区支持的技术来抹掉，例如远程 MDM 命令。以这种方式抹掉媒介密钥将导致宗卷因存在加密而不可访问。
可移除储存设备
可移除储存设备的加密不使用安全隔区的安全性功能，而是采用与基于 Intel 的 Mac（不搭载 T2 芯片）相同的方式执行加密。