OPSEC52 / 第 8 周 —— 全盤加密

七週以來分開的郵箱、手機、瀏覽器配置和密碼庫，全都存在同一塊矽片上。如果有人關掉你的筆記本、拿走它，而磁碟沒有加密，那你所有的分隔工作都毫無意義 —— 他們能在靜止狀態下讀到一切，包括你精心保護的那個密碼管理器。全盤加密是唯一能把一臺被查扣的裝置從”讀遍我的一生”變成”這裡只有一堆隨機噪聲”的控制手段。它免費、內建於每個作業系統，而大多數人至今仍只開了一半。

威脅模型： 在邊境、路檢或被捕時於裝置關機或休眠狀態下被實體查扣；被盜；維修店或酒店裡的對手對硬碟做映象；從丟棄或售出的裝置做取證恢復；即便主卷已加密，未加密的交換分割槽、休眠檔案與雲備份仍洩露明文；以及針對開機且已解鎖裝置的冷啟動 / DMA 攻擊。

靜態加密是底線，不是上限

本系列其他每一根支柱保護的都是傳輸中的資料 —— 誰看得到你的流量、身份、登入。全盤加密（FDE）保護的是靜止的資料：裝置關機時躺在硬碟上的那些位元組。沒有它，取得實體控制的對手就跳過了你構建的所有其他防線。他們根本不需要你密碼管理器的主口令 —— 直接從碟片上讀取密碼庫檔案、瀏覽器配置、shell 歷史、Monero 錢包快取即可。FDE 是你其餘 OPSEC 所立足的地板。地板若缺失，上面的一切都是表演。

決定一切的”關機 vs 鎖定”之別

FDE 只保護完全關機（或休眠到已加密磁碟）的裝置。這是幾乎所有人都搞錯的細節：

已關機 → 金鑰不在記憶體中。磁碟是真正不可讀的。這正是你在過境或任何裝置離開你掌控時想要的狀態。
鎖定 / 掛起（睡眠） → 加密金鑰仍在記憶體裡。鎖屏是一個介面提示，不是加密。裝備充分的對手能從記憶體中取出金鑰（冷啟動、經 Thunderbolt/PCIe 的 DMA），或乾脆等你自己解鎖。

實用規則：若你可能失去對裝置的控制 —— 就關機，別隻是合上蓋子。 設定較短的自動鎖定；在任何裝置可能被拿走的門檻處，優先選擇”休眠”或徹底關機，而非”睡眠”。

把它開啟 —— 它本就在那裡

Windows： BitLocker（專業版/企業版）或裝置加密（家庭版）。確認它確實開著，且若你的 Microsoft 賬戶是實名的，恢復金鑰沒有被自動託管到該賬戶。
macOS： FileVault。一個開關。自己保管恢復金鑰，別放進 iCloud。
Linux： LUKS，最好在安裝時選擇（對根分割槽 + 交換分割槽全加密）。只加密 /home 會讓日誌、交換、臨時檔案暴露在外。
Android / iPhone： 多年來預設開啟 —— 但其強度會坍縮到你的鎖屏強度。4 位 PIN 可被暴力破解；請使用長的字母數字口令。

在”磁碟已加密”之後仍會洩露的東西

主卷的 FDE 並非全部工作。明文會從接縫處溜走：

交換與休眠 —— 若它們不在加密卷內，從記憶體換出的秘密會以明文落到磁碟。給交換分割槽加密；給休眠檔案加密。
雲備份 —— 一臺加密的筆記本若自動同步到未加密（或服務商可讀）的雲備份，只是把明文搬到了別處。檢查什麼在備份。
外接硬碟與 U 盤 —— 加密的筆記本加上未加密的備份盤，等於一塊未加密的備份盤。可移動介質也要加密（跨平臺可用 VeraCrypt）。
口令本身 —— FDE 把整臺裝置變成單一秘密。孱弱的登入/啟動密碼會將其瓦解。這個口令應當長、唯一、絕不復用（見第 7 周）。

本週演練

確認 FDE 確實開著 —— 不是”支援”，而是開著 —— 在每臺裝置上：筆記本、手機、平板。
把恢復金鑰從廠商雲端移走（若它被託管到實名賬戶）；存進你的密碼管理器，或寫在紙上放進保險箱。
把啟動前 / 登入口令設為長而唯一的字串。一塊鎖著但密碼孱弱的磁碟是減速帶，不是牆。
給備份與 U 盤加密 —— 最弱的那份複製決定了你真正的安全等級。
練習過境習慣： 每當裝置可能離手，就徹底關機，而非睡眠。

全盤加密擋不住一臺執行中、已解鎖的機器，也贏不了逼你把口令打出來的扳手。但它把現實中最常見的那種攻擊 —— “他們拿到了裝置” —— 從徹底失守變成聳聳肩。本系列你構建的其餘一切，只有在這一項開著時才成立。

策展人 Cyber Satoshi