Så lagrar Apple dina nycklar för FileVault

av Mikael Winterkvist | jan 26, 2026 | Bluesky, Säkerhet, Threads

FileVault (macOS) använder kryptering av hela disken och bygger på flera olika nycklar som hanteras i lager. Apple lagrar inte en “färdig” dekrypteringsnyckel i klartext, men vissa nyckelkomponenter kan vara knutna till hårdvaran och till ditt konto beroende på hur du har konfigurerat FileVault.

Här är huvudprinciperna.

FileVault har en volymnyckel som faktiskt krypterar disken

När FileVault är påslaget finns en huvudnyckel som används för att kryptera och dekryptera data på lagringsenheten. Den nyckeln ligger inte sparad som en enkel sträng du kan läsa ut, utan är skyddad och “inlåst” så att den bara kan användas när rätt upplåsning sker.

Nyckeln skyddas i sin tur av “wrap-nycklar”

I stället för att lagra volymnyckeln öppet lagras den i ett “inlindat” (krypterat) format. För att kunna använda volymnyckeln måste macOS först låsa upp den med en annan nyckel som i praktiken kommer från:

1. Ditt lösenord (eller en användares lösenord som är godkänd för FileVault-upplåsning)
2. Secure Enclave/hårdvaruskydd (på nyare Macar)
3. En återställningsnyckel (Recovery Key), om du använder det

Det är alltså inte så att din inloggning “är” nyckeln, utan ditt lösenord används för att låsa upp nyckelmaterial som i sin tur låser upp volymnyckeln.

På nyare Macar skyddas nycklarna av Secure Enclave

På Macar med Apple Silicon (och Intel med T2) finns ett hårdvarubaserat skydd där nyckelmaterial kan bindas till enheten. Secure Enclave kan lagra nycklar eller nyckeldelar så att de inte går att extrahera, och så att upplåsning kräver både rätt användaruppgifter och rätt hårdvara.

Det betyder i praktiken att även om någon kopierar hela disken bit för bit, så räcker det inte utan upplåsning via rätt mekanism.

Återställningsnyckeln kan hanteras på två sätt

När du aktiverar FileVault kan du välja mellan två modeller:

Lokalt sparad Recovery Key (du ansvarar för den)

Då finns ingen automatisk “Apple-kopia” som du kan få tillbaka om du tappar den. Tappar du både lösenord och Recovery Key kan datan bli oåtkomlig.

Recovery Key knuten till Apple ID (kontoåterställning)

Väljer du att kunna återställa via ditt Apple-konto lagras inte din volymnyckel hos Apple som en dekrypteringsnyckel i klartext. I stället används en modell där återställning sker via Apple ID-flödet, vilket i praktiken innebär att du kan låsa upp FileVault genom kontobaserad återställning om du klarar Apples verifiering.

Företagsmiljö: nycklar kan även lagras via MDM

I organisationer kan FileVault-återställningsnycklar ofta lagras (escrow) i ett MDM-system (till exempel Jamf eller Intune). Då är det inte Apple som “har nyckeln”, utan organisationens hantering.

Sammanfattning

Apple lagrar inte en direkt dekrypteringsnyckel till din FileVault-disk i klartext. FileVault-nycklarna ligger skyddade i flera lager, där upplåsning kräver en kombination av användaruppgifter och (på nyare Macar) hårdvaruskydd via Secure Enclave. Väljer du Apple ID-återställning finns en Apple-kopplad återställningsmekanism, men inte som en enkel, läsbar nyckel som Apple kan plocka fram och använda utan ditt konto och verifiering.

Apple kan alltså inte lämna ut någon nyckel som kan användas för att låsa upp en låst och krypterad Mac-dator där att Apple inte har någon nyckel att lämna ut. 

Läs mer:

https://www.macken.xyz/2026/01/hur-saker-ar-din-windows-dator-egentligen/

Hur säker är din Windows-dator egentligen?

av Mikael Winterkvist | jan 26, 2026 | Bluesky, Säkerhet, Threads

Ett nyligen avgjort rättsfall i Guam har kastat ljus över en säkerhetslucka som många Windows-användare sannolikt inte kände till. Det visar sig att Microsoft kan lämna ut krypteringsnycklar för BitLocker till myndigheter som FBI, vilket i praktiken gör datorns inbyggda skydd verkningslöst.

Mysteriet med de låsta datorerna

Allt började med en federal utredning i Guam gällande ett omfattande bedrägeri kopplat till ett stödpaket för covid-19. Två anställda vid arbetsmarknadsdepartementet anklagades för att ha stulit omkring två miljoner dollar genom att manipulera interna system. När FBI beslagtog tre bärbara datorer i samband med en razzia stötte de på patrull. Enheterna var skyddade med BitLocker, ett verktyg som krypterar filer och kräver en 48-siffrig kod för att låsas upp.

Tidigare har experter beskrivit BitLocker som nästintill ogenomträngligt. I det här fallet behövde dock FBI aldrig knäcka koden; de bad helt enkelt Microsoft om den, och fick nycklarna.

Därför har Microsoft din nyckel

Det kan verka märkligt att Microsoft sitter på nycklar till privatpersoners datorer. Förklaringen ligger i bekvämlighet. När en ny dator med Windows installeras frågar systemet ofta om användaren vill säkerhetskopiera sin återställningsnyckel till sitt Microsoft-konto i molnet. Detta är praktiskt om man glömmer sitt lösenord, men det innebär samtidigt att Microsoft lagrar en kopia av nyckeln på sina servrar.

När FBI presenterade en husrannsakningsorder den 10 februari 2025 lämnade Microsoft över nycklarna. Utredarna fick därmed omedelbar tillgång till filerna, och krypteringen blev i praktiken irrelevant.

Kontrasten mellan teknikjättarna

Microsoft bekräftar att de lämnar ut nycklar när de får ett giltigt domstolsbeslut. En talesperson förklarar att lagring i molnet innebär en risk för oönskad åtkomst, men att företaget får cirka 20 sådana förfrågningar årligen.

Detta agerande skiljer sig från hur andra teknikjättar har agerat i liknande situationer. Apple hamnade i en känd rättstvist 2016 när de vägrade hjälpa FBI att låsa upp en telefon efter skjutningarna i San Bernardino. Apple hävdade då att ett sådant verktyg skulle äventyra säkerheten för samtliga användare, vilket tvingade FBI att istället anlita utomstående hackare.

Så tar du kontroll över din säkerhet

Sekretess är ofta en avvägning mellan bekvämlighet och säkerhet. För att säkerställa att din dator förblir privat rekommenderar experter att du ser över ditt Microsoft-konto. Du kan välja att flytta dina krypteringsnycklar till ett fysiskt USB-minne eller skriva ut dem och förvara dem på en säker plats. På så sätt är du den enda som har makten att låsa upp din data.