如何将 MacBook FileVault、Windows BitLocker 和家庭 NAS 加密密钥传递给家人
几年前，如果一个家庭成员去世了，没有人知道他们的 Windows 或 Mac 登录密码，当地的电脑维修店只需拧开笔记本电脑的底部，拔出硬盘，将其插入 15 美元的 USB 适配器，然后在 10 分钟内复制所有家庭照片和税务文件。 在现代笔记本电脑上，这个技巧已经完全失效了。
为什么从现代 Mac 或 Windows 11 PC 中拔出 SSD 不再有效
Apple 和 Microsoft 现在默认在硬件级别加密整个固态硬盘 (SSD)（请参阅如何访问已故人员的计算机）：
- Apple Silicon MacBook (M1 / M2 / M3 / M4) + FileVault： SSD 芯片直接焊接到逻辑板上，并由 Apple Silicon Secure Enclave 加密。如果启用了 FileVault，并且您的家人既不知道 macOS 用户密码，也不知道 24 个字符的 FileVault 恢复密钥（或具有 2FA 设备访问权限的 Apple ID 密码），则 Apple 自己的 Genius Bar 无法解密该驱动器 - 即使有法院命令和死亡证明。
- Windows 11 自动 BitLocker 设备加密：从 Windows 11 24H2（以及大多数 Dell、HP、Lenovo 和 Surface 笔记本电脑）开始，Microsoft 在初始设置期间自动启用 BitLocker 全磁盘加密。如果悲伤的配偶多次尝试 PIN、更改启动设置或触发 Windows 安全检查，笔记本电脑会显示蓝屏，要求输入 48 位 BitLocker 恢复密钥。
- 加密的外部 SSD、VeraCrypt 容器和 Synology/QNAP NAS 驱动器：精通技术的父母通常会将数十年的家庭照片和财务 PDF 保存在加密的 Samsung T7/APFS 外部 SSD 或带有加密共享文件夹（“.pat”/“.key”文件）的家用 Synology NAS 上。如果没有加密密码，这些 TB 的家族历史在数学上就是不可恢复的随机噪声。
锁定早期访问价格：¥28/月 →或者终身一次 74.99 美元。你的继承人永远不会付钱。候补名单成员保留首发价格。
磁盘加密恢复密钥隐藏在哪里 - 以及家庭如何被锁定
| 加密系统 | 恢复密钥是什么样的 | 为什么家人死后会被锁在外面 |
|---|---|---|
| Windows 11 BitLocker/设备加密 | 48位数字键（8组6位） | ✗ 存储在已故者的 Microsoft 帐户 (aka.ms/myrecoverykey) 内，需要 Microsoft 密码 + 2FA 才能查看（请参阅访问已故者的 Microsoft 帐户） |
| macOS FileVault（MacBook / iMac / Mac mini） | 24 个字符的字母数字密钥 (XXXX-XXXX-XXXX-XXXX-XXXX-XXXX) 或 iCloud 托管 | ✗ 如果托管到 iCloud，激活Apple Legacy Contact会锁定原始 Apple ID；如果选择个人恢复密钥，Apple 根本没有副本 |
| Linux LUKS / Ubuntu / Fedora 全盘加密 | ✗ 主 LUKS 密码 + 可选恢复密钥 | ✗ 零云恢复 — 如果密码未知，数据将 100% 永久丢失 |
| Synology DSM / QNAP / TrueNAS 加密存储空间 | ✗ 管理员密码 + 卷加密密钥 (.key / .rkey) | ✗ 按物理 NAS 重置按钮将重置管理员登录，这会立即卸载所有加密的共享文件夹，直到上传加密密钥！ |
请阅读 Synology/QNAP NAS 警告两次！
如果您使用家用 NAS（Synology、QNAP、TrueNAS 或 Unraid）来存储家人的照片和税务文件，那么在精通技术的配偶去世后，数据会遭到破坏：
当您的配偶无法登录您的 Synology NAS 时，他们会在 Google 上搜索“如何重置 Synology 管理员密码”。* Google 会告诉他们将回形针放在背面重置按钮上 4 秒钟。 出于安全原因，按 Synology NAS 上的物理重置按钮会自动卸载每个加密共享文件夹并删除自动装载密钥！ 除非您在Heritkey中留下了加密密码或“.key”恢复字符串，否则按该重置按钮将永远将您的家人锁定在加密文件夹之外。
如何在 3 分钟内找到并保存Heritkey中的恢复密钥
- 在 Windows 11 (BitLocker) 上：访问“account.microsoft.com/devices/recoverykey”（或在管理员命令提示符中运行“manage-bde -protectors C: -get”）并将 48 位 BitLocker 恢复密钥（加上密钥 ID）复制到您的Heritkey保管库中。
- 在 Mac (FileVault) 上：在Heritkey中记录您的 准确的 macOS 登录密码（不仅仅是 Touch ID，该密码会在 48 小时或重新启动后禁用！）以及您的 24 个字符的 FileVault 恢复密钥。
- 对于外部 SSD 和家用 NAS：记录每个 APFS 加密/BitLocker To Go/VeraCrypt 驱动器的卷加密密码和 Synology/TrueNAS 加密文件夹密码 - 以及明确的说明：“请勿按 NAS 上的物理重置按钮；而是使用这些凭据登录。”
Heritkey内的所有内容均在您的设备上使用AES-256-GCM进行加密（Heritkey工作原理），并仅在您的签到计时器到期时才发布给您的亲人。
常见问题
如果有人死亡，电脑维修店能否绕过 BitLocker 或 MacBook FileVault？
不会。BitLocker 和 FileVault 都使用 AES-128/AES-256 全磁盘硬件加密。如果没有用户的登录密码或恢复密钥，地球上任何维修店或数据恢复实验室都无法读取 SSD 上的文件。
为什么我不知道我的 Windows 11 笔记本电脑上已启用 BitLocker？
当您在初始设置期间使用 Microsoft 帐户登录时，大多数现代 Windows 11 笔记本电脑会自动打开“设备加密”（在后台使用 BitLocker），而不会提示您打印 48 位恢复密钥。
如果我的家人按下 Synology NAS 上的重置按钮，会发生什么情况？
Synology NAS 上的模式 1 重置会重置“admin”帐户密码和网络设置，并且为了安全起见，它会立即卸载所有加密的共享文件夹并禁用启动时的自动挂载 — 需要原始加密密码或“.key”文件才能再次打开这些文件夹。
本指南仅提供一般信息，不构成法律建议。有关遗嘱和数字资产的法律因国家和州而异，请咨询你所在地的法律专业人士。