macOS Tahoe 迎来史诗级更新：远程解锁 FileVault 终成现实，Mac mini 服务器的春天来了？

对于所有将 Mac mini 用作家庭实验室或远程服务器的管理员来说，一个长期存在的痛点终于得到了解决。在过去，如果一台启用了 FileVault 全盘加密的 Mac 因故重启（例如，恼人的停电），它就会变成一块无法远程访问的“砖头”，静静地等待着有人能亲临现场，接上键盘和显示器，输入那个至关重要的开机密码。

然而，随着苹果在 2025 年 9 月 15 日正式推送 macOS 26 Tahoe，这一窘境将成为历史。一项名为 apple_ssh_and_filevault 的新功能，为远程管理加密 Mac 打开了一扇全新的大门。

新功能揭秘：SSH 如何解锁 FileVault？

根据苹果发布的技术手册 apple_ssh_and_filevault(7)，这项新功能的实现方式相当巧妙。当一台启用了 FileVault 和“远程登录”的 Mac 启动时，即便其核心数据卷仍然处于加密锁定状态，系统现在能够启动一个轻量级的 SSH 服务。

这个特殊的 SSH 服务不支持常规的密钥认证，因为它所需的配置文件（如 authorized_keys）本身也存储在被加密的数据卷中。但是，它允许用户通过密码进行身份验证。一旦用户通过 SSH 成功提供了正确的账户密码，系统就会使用该密码解锁数据卷。

解锁成功后，为了完成数据卷的挂载并启动所有依赖于此的服务，macOS 会短暂地断开当前的 SSH 连接。在短暂的中断后，一个功能完备的 SSH 服务会随之启动，此时管理员便可以像往常一样，使用密钥等更安全的方式重新连接，并进行完整的远程管理。

对于那些一直因 FileVault 的远程管理难题而苦恼的用户来说，这无疑是一个“喜大普奔”的改变。正如一位用户所言：“这意味着我现在可以拥有一台完全远程管理的 Mac mini 服务器，在断电后能够自动重启，而无需再物理连接键盘进行登录了？太棒了！”

新旧对比：与 `fdesetup authrestart` 有何不同？

在此之前，管理员们并非完全束手无策。macOS 提供了一个名为 fdesetup authrestart 的命令行工具。该命令允许用户在计划内重启时，预先授权系统在下一次启动时自动登录，从而绕过 FileVault 的密码输入界面。

然而，fdesetup 的局限性非常明显：

仅限计划内重启：它对于突发的断电事故或系统崩溃毫无用处。
一次性有效：该授权仅在下一次重启时生效，之后便会失效。
安全隐患：它将解锁密钥临时存储在 NVRAM 中，直到下一次重启。虽然攻击者需要在这极短的时间窗口内物理接触设备，但这依然被一些用户比作“把珠宝放在保险柜里，却把钥匙留在保险柜上”。

全新的 SSH 解锁方式则完美地解决了这些问题。它专为冷启动和意外重启的场景设计，让 Mac 在任何时候重启后，都能安全地等待管理员的远程解锁，而无需牺牲 FileVault 带来的强大安全性。

安全性探讨：SSH 密钥存放在哪？

这项新功能的引入也引发了社区关于安全性的热烈讨论。一个核心问题是：这个用于建立初始 SSH 连接的主机密钥 (host key) 存放在哪里？

由于数据卷此时尚未解锁，该密钥必然不能存储其中。这意味着它可能位于未加密的系统分区。一些用户提出了一个合理的担忧：如果攻击者能够物理接触到设备，他们或许可以窃取这个未加密的主机密钥，然后设置一个“中间人攻击”，在管理员尝试远程解锁时捕获其密码。

对此，有用户提出了一个绝佳的建议：苹果完全可以将这个主机私钥存储在硬件的安全隔区 (Secure Enclave) 中。安全隔区是一个专用的安全协处理器，能为密钥等敏感数据提供硬件级别的保护，使其即便在操作系统内核被攻破的情况下也无法被提取。虽然苹果官方尚未明确证实是否采用了此方案，但这无疑是保障此功能安全性的最佳实践。

来自 Linux 世界的参照：与 Dropbear 的异同

在 Linux 社区，通过 SSH 远程解锁加密磁盘早已不是新鲜事。多年来，管理员们一直使用一个名为 dropbear-initramfs 的工具来实现类似功能。

其原理是在 initramfs（一个临时的、基于内存的初始文件系统）中集成一个轻量级的 dropbear SSH 服务器。这使得管理员可以在系统引导的早期阶段就通过网络连接，并输入密码来解锁使用 LUKS 加密的全盘。

macOS 的新功能在用户体验上更为整合和无缝，但两者实现的核心思路是相似的：都在主操作系统完全加载前，提供一个最小化的网络服务以接收解锁指令。

潜在问题与注意事项

尽管这项功能备受赞誉，但一些资深用户也指出了潜在的问题：

网络配置：在系统分区启动的轻量级 SSH 服务如何获取网络配置？对于使用 DHCP 的网络环境，这通常不是问题。但对于依赖静态 IP 地址的服务器，目前尚不清楚该环境是否能正确读取和应用这些设置。
Shell “竞争条件”：有用户提到，在图形界面登录时，如果用户的默认 Shell (如 zsh, bash) 是通过 Nix 等包管理器安装在加密的数据卷上的，那么在解锁后，终端模拟器等应用可能会因为启动过早、找不到 Shell 而失败。虽然 SSH 解锁后会断开重连，这可能有助于规避此问题，但仍需实际测试验证。
iCloud 密钥托管争议：有用户反馈，在升级到 macOS Tahoe 测试版后，系统似乎在未经明确同意的情况下，将 FileVault 恢复密钥上传到了 iCloud Keychain。这引发了一些对隐私和密钥控制权的担忧，认为这违背了用户自己保管恢复密钥的初衷。

结论：虽有疑虑，但瑕不掩瑜

毫无疑问，macOS Tahoe 中引入的 SSH 远程解锁 FileVault 功能，是近年来 macOS 在企业和服务器应用场景下最重要的更新之一。它极大地提升了远程管理加密 Mac 的便利性和可靠性，使 Mac mini 作为小型服务器的价值得到了真正的释放。

尽管围绕 SSH 主机密钥的存储安全、特殊网络环境的兼容性以及 iCloud 密钥托管等方面还存在一些疑问，但这项功能的出现本身就是一个巨大的进步。它表明苹果正越来越重视专业用户和系统管理员的需求。现在，你可以更加放心地为你的远程 Mac 启用 FileVault，因为它终于能在意外重启后，安全地在线等待你的归来。