Apple 设备中的数据保护在支持数据保护的 Apple 设备上，每个文件通过唯一的文件独有密钥（或范围独有密钥）进行保护。该密钥使用 NIST AED 密钥封装算法封装，之后会进一步使用多个类密钥中的一个进行封装，具体取决于计划如何访问该文件。随后封装的文件独有密钥储存在文件的元数据中。
使用 APFS 格式运行的设备可能支持文件克隆（使用写入时拷贝技术的零损耗拷贝）。如果文件被克隆，克隆的每一半都会得到一个新的密钥以接受传入的数据写入，这样新数据会使用新密钥写入媒介。久而久之，文件可能会由不同的范围（或片段）组成，每个映射到不同的密钥。但是，组成文件的所有范围受同一类密钥保护。
当打开一个文件时，系统会使用文件系统密钥解密文件的元数据，以显露出封装的文件独有密钥和表示它受哪个类保护的记号。文件独有（或范围独有）密钥使用类密钥解封，然后提供给硬件 AES 引擎，该引擎会在从闪存中读取文件时对文件进行解密。所有封装文件密钥的处理发生在安全隔区中；文件密钥绝不会直接透露给应用程序处理器。启动时，安全隔区与 AES 引擎协商得到一个临时密钥。当安全隔区解开文件密钥时，它们又通过该临时密钥再次封装，然后发送回应用程序处理器。
数据宗卷文件系统中所有文件的元数据都使用随机宗卷密钥进行加密，该密钥在首次安装操作系统或用户擦除设备时创建。此密钥由密钥封装密钥加密和封装，密钥封装密钥由安全隔区长期储存，只在安全隔区中可见。每次用户抹掉设备时，它都会发生变化。在 A9 或后续型号 SoC 上，安全隔区依靠由反重放系统支持的熵实现可擦除性，以及保护其他资源中的密钥封装密钥。有关更多信息，请参阅安全非易失性存储器。
正如文件独有密钥或范围独有密钥一样，数据宗卷的元数据密钥绝不会直接透露给应用程序处理器；相反，安全隔区会提供一个临时的启动独有的版本。储存后，加密的文件系统密钥还会使用储存在可擦除存储器中的“可擦除密钥”封装或者使用受安全隔区反重放机制保护的媒介密钥封装密钥进行封装。此密钥不会提供数据的额外机密性。相反，它可以根据需要快速抹掉（由用户使用“抹掉所有内容和设置”选项来抹掉，或者由用户或管理员通过从移动设备管理 (MDM) 解决方案、Microsoft Exchange ActiveSync 或 iCloud 发出远程擦除命令来抹掉）。以这种方式抹掉密钥将导致所有文件因存在加密而不可访问。
文件的内容可能使用文件独有（或范围独有）的一个或多个密钥进行加密，密钥使用类密钥封装并储存在文件的元数据中，文件元数据又使用文件系统密钥进行加密。类密钥通过硬件 UID 获得保护，而某些类的类密钥则通过用户密码获得保护。此层次结构既可提供灵活性，又可保证性能。例如，更改文件的类只需重新封装其文件独有密钥，更改密码只需重新封装类密钥。
发布日期：2021 年 2 月 18 日另请参阅Apple 文件系统作用加密和数据保护概览自动强密码下载本手册的 PDF 版