加密备份怎么做？密码、密钥与 VeraCrypt

备份做多了会发现一个新问题：数据副本越多，泄露风险越大。硬盘丢一块、网盘账号被盗一次、旧电脑卖掉没清干净，都可能导致隐私甚至重要凭证泄露。加密备份就是给每一份副本上锁，拿到硬盘的人只能看到一堆乱码。这篇讲清楚三种加密方式、VeraCrypt 的完整操作步骤、以及密码密钥到底该怎么保管，全部是可以照着做的具体步骤。

为什么每个备份都该加密

先看几个真实场景：移动硬盘丢在出租车上、离职时旧电脑直接卖给回收商、网盘账号密码撞库泄露、NAS 被端口扫描攻破。只要备份没加密，这些事的后果都会从“损失数据”升级成”泄露隐私“，性质完全不同——数据丢了可以重建，隐私泄露散出去就收不回来。

加密备份还有个额外好处：防勒索病毒。勒索病毒会加密你能访问的所有文件，但它读不懂你已经加密过的备份——只要密钥没存在同一台电脑上，它对你的加密副本无能为力，勒索信写得再狠也没用。中了勒索病毒之后怎么救，可以看勒索病毒中招怎么救一章。

加密的成本很低：压缩软件自带密码功能，BitLocker 和 VeraCrypt 免费可用，对日常使用几乎没有额外负担，唯一代价就是密码必须记牢。既然又便宜又安全，实在没理由不做。

动手之前：哪些数据需要加密

不是所有文件都值得加密，给所有东西加密既累又没必要。先按敏感程度分个级：

分级的核心原则是看“泄露了会不会出事”。身份证照片泄露可能被拿去网贷，日记泄露社死一阵，公开资料泄露了也没人在意。高敏感数据建议直接用 VeraCrypt 容器统一装起来，平时挂载用、备份整体带走；中敏感数据备份时打个加密压缩包就够。这样一站配齐，日常使用一点都不麻烦。

另外重点检查三个地方：相册里的证件截图、微信收藏里的合同和密码、下载文件夹里随手存的账号信息。这三个位置是泄露重灾区，加密之前先把它们归置到该去的地方，该删的删，该存的存。

加密备份的三种做法

第一种最简单，右键压缩时勾上“加密文件”，输一个长密码。缺点是密码可以暴力破解，RAR 格式安全性一般，7z 的 AES-256 加密强度够用，适合临时转存或不那么敏感的数据。注意别用短数字密码，六位数字密码几小时就能被跑字典破解。

第二种是系统自带的整盘加密。Windows 专业版有 BitLocker，macOS 有 FileVault，开启后整盘加密，登录即解密，日常无感。强烈建议笔记本都开着，笔记本被偷的概率比台式机高得多，丢了起码数据不泄露。缺点是密钥绑定系统账号或恢复密钥，一定要把恢复密钥单独抄一份放好，存在微软账号里也行，但两个都丢就等于砖。

第三种是创建一个加密容器文件，挂载以后像普通磁盘一样用。好处是可以把整个容器文件复制到网盘、移动硬盘做异地备份，副本再多也不怕泄露，网盘被黑了看到的只是一坨乱码。要长期保管的重要数据，我推荐这个方案，下面详细讲。

BitLocker 和 FileVault 怎么开

整盘加密是成本最低的防护，Windows 和 macOS 各花五分钟就能配好。BitLocker：打开控制面板的“BitLocker 驱动器加密”，对系统盘点”启用 BitLocker“，选择把恢复密钥保存到微软账号，同时再打印一份纸质备份，然后等待加密跑完，几十 GB 到一两百 GB 大概半小时到一小时，期间不影响使用。注意家庭版 Windows 没有 BitLocker，只能升级到专业版，或者退而求其次用设备加密（部分新机器 BIOS 里支持）。

FileVault 更简单：macOS 的“系统设置、隐私与安全性、FileVault”，点打开，等它加密完成。恢复密钥会生成一串，务必抄在纸上或者存到其他设备，别只留在本机。两种方案配完之后，日常开关机没有任何变化，唯一变化是硬盘被偷后里面数据读不出来。配完做一次验证：重启一次确认能正常进系统，恢复密钥路径要心里有数，别加密完了反而把自己锁在门外。

VeraCrypt 怎么用

VeraCrypt 免费开源，下载认准官网，别从第三方下载站装。核心步骤如下：

1. 新建卷：选“创建加密文件容器”，加密算法选 AES-256，哈希选 SHA-512；
2. 设定容器大小，比如 50GB，选好保存位置（建议放在数据盘，别放系统盘）；
3. 设密码：至少 16 位，混合大小写字母、数字、符号，不要用生日和单词，越随机越好；
4. 格式化容器，然后在主界面选“挂载”，输入密码后会出现一个虚拟盘符；
5. 把要备份的文件拷进这个虚拟盘，用完点“卸载”，卸载之后里面又是乱码。

之后每次备份就是三步：挂载、拷贝新文件、卸载。把容器文件复制到移动硬盘或网盘，就是一份加密的异地备份，比压缩包省事（不用每次重新打包），比整盘加密灵活（可以整体复制带走）。

几个注意点：容器大小定了以后不能直接改，要新建一个大容器再迁移数据；密码忘了没有任何办法找回，VeraCrypt 没有后门，官方也救不了你；容器文件在同步工具眼里是“一个大文件整体变化”，增量同步效果差，每次备份都是整体覆盖，所以容器别做得太大，50GB 到 200GB 比较合适。

第一次配置完，做一次验证：往容器里放几个文件，卸载，重新挂载，确认能正常打开。加密工具配错一点就会全军覆没，这五分钟的演练绝对值得。

密码和密钥怎么保管

加密备份最大的风险不在软件，而在人。密码太简单等于没加密，密码复杂了自己又记不住。几个实用做法：

• 常用密码自己背 3 到 5 个，其余交给密码管理器（Bitwarden、1Password 等），主密码一定要够长；
• 密码管理器的主密码绝对不写在任何云端笔记里，这是最容易被撞库攻破的地方；
• BitLocker 恢复密钥、VeraCrypt 密码这类“一次配置长期使用”的，抄在纸上，和家庭证件放在一起，或者分两半各放一处；
• 把密码告诉一位可信任的家人，这是防止“人没了数据也跟着没了”的必要安排，尤其是家庭照片这类共同记忆。

密码管理器选免费方案就完全够用，重点看三点：是否开源、是否支持本地数据存储、是否跨平台。

千万别犯一个常见错误：把加密备份和密码放在同一个地方。硬盘加了密码，密码又贴在硬盘盒上，那等于没加密，白忙一场。密码的存放位置本身也要有异地思维，跟数据副本分开才算安全。

定期换密码也是必要的。每两年换一次主密码，怀疑泄露时立刻换，换完记得同步更新所有异地的纸条备份，别只改电子版。

网盘场景怎么配合加密

加密备份最常见的落地场景就是网盘：本地放容器原件，网盘放容器副本。具体做法分三步。第一步，在本地硬盘建一个 VeraCrypt 容器，把重要数据都存进去；第二步，每次更新完数据卸载容器后，把容器文件复制到网盘的 backup 目录，覆盖旧的那份；第三步，每季度做一次验证，从网盘把容器下回来，挂载确认能打开、内容是最新的。

这套做法的妙处在于：网盘服务商再怎么出问题——账号被盗、内部泄露、同步出故障——你丢掉的只是一个文件副本，内容和数据结构对任何人都是乱码。代价只是上传慢一点，因为容器一改动就要整体重传，几十 GB 的容器在百兆宽带下要跑一两小时，所以建议把容器控制在 50GB 以内，或者在更新后挂着宽带让它自己慢慢传。

如果觉得容器方案太重，还有个轻量替代：把文件分类打成几个加密压缩包，小包上传快，想恢复某个文件时单独下一个小包就行。两种方案可以混着用，重要结构化的数据放容器，零散的一次性材料打压缩包，灵活又不折腾。

加密备份的避坑清单

配加密备份时这几个坑踩一个都够受的，提前过一遍：

• 容器只放在一个地方。容器文件本身也是数据，被删了加密再强也没用，至少复制两份到不同位置；
• 密码存电脑桌面便签。勒索病毒和盗窃者第一时间就翻便签，密码一律离机保存；
• 长期不验证。每半年挂载一次容器，确认密码还记得、文件能打开，别等要用那天才发现密码想不起来；
• 混用多套密码还不记。三套以上密码体系必然乱，老老实实用密码管理器统一管。

把这张清单贴在电脑边或者放进备忘录，每年检查一遍。加密备份是典型的“平时嫌麻烦、出事救命钱”的投入，五分钟配置换来的是副本再多也不怕丢的安心。

加密备份最怕的几件事

加密失败的方式和普通备份不一样，常见的不外乎以下几种。

第一种：密码和备份放在一起。硬盘加了密、密码贴在硬盘盒上，或者密码存网盘、网盘密码又写在桌面便签里，链条一断全盘皆输，原则是密码和数据必须在物理上分开存放。第二种：主密码只存在一个地方。只用脑子记，时间一久记忆模糊，试错几次把自己锁死；或者只存一份纸条，搬家时弄丢。至少两份实体备份加一位知情家人。第三种：容器做得太大。一个 500GB 的容器每次同步都是整体重传，维护痛苦导致最终放弃，容器控制在 50 到 200GB，按数据分级建几个小容器更实际。第四种：长期不验证。加密文件损坏没有提示，等发现时往往已经过去一两年，每年一次恢复演练是硬要求。第五种：家人完全不知情。人突然不在了，数据对家人就是永远打不开的铁箱，交接清单和口头交代是加密备份体系的最后一环。

这五件事都是小动作，但每一件都能决定加密备份在关键时刻到底能不能救你。

加密备份最容易犯的五个错误

实际操作中，大部分人栽跟头不是因为技术难，而是栽在几个反直觉的习惯上。整理成一张表，先看全貌：

第一个是密码存放问题，前面强调过，这里再说一遍是因为它太常见。很多人觉得密码贴在硬盘上有“安全感”，实际上拿到硬盘的人第一眼就会看贴纸。正确做法是密码写在纸条上，和家庭证件锁在一起，或者存在另一位家人那里，和数据副本物理隔离。

第二个是密码复用。网盘一份、移动硬盘一份、NAS 一份，全是同一个密码，只要其中一个环节泄露，所有副本同时失守。异地备份的意义在于分散风险，密码全一样等于把分散的风险又捆在一起。至少高敏感的容器要用独立密码，哪怕多背一个。

第三个是容器尺寸。有人一上来做个 1TB 的容器，结果每次同步要等半天，三个月以后就懒得再备份了。加密备份是长期的事，流程必须轻到能坚持。把容器控制在合适大小，大文件可以拆成两个容器分开管。

第四个是从不验证。加密多了一层环节，出错的可能性也多了一层：容器损坏、密码记错、软件版本不兼容。每年做一次完整恢复演练，从挂载到拷贝全程走一遍，五分钟的事，能避免“备份了三年其实全是坏的”这种悲剧。

第五个是交接缺失。加密备份做得越严密，对拥有者的依赖就越强，一旦本人出意外，家人面对的就是一堆谁都打不开的乱码。准备一份交接清单，写清楚容器密码、密码管理器主密码、各平台恢复码，放在保险箱或固定抽屉，并告诉一个信任的人怎么取用。这不是忌讳，是负责任。

常见问题

VeraCrypt 会不会被破解？

目前没有公开的破解案例。VeraCrypt 是 TrueCrypt 的审计继承版本，2015 年完成过独立安全审计，AES-256 也是银行和军方级别的算法，暴力破解在现有算力下不现实。现实中的风险不在算法，而在你的密码强度和使用习惯：弱密码、密码重复使用、电脑被植入键盘记录器，这些才是真正的突破口。算法本身可以放心用。

加密备份会影响恢复吗？

会增加一点步骤，但不影响恢复成功率。恢复时要先挂载容器输入密码，然后才能拷文件，多花两三分钟。真正要防的是“密码丢了”，便携性和安全性的权衡在这里很明显。建议把恢复演练写进年度流程：每年试一次，从加密备份里完整恢复一批文件，确认密码还记得、文件无损、整个流程自己能独立跑通。真出事时才不会手忙脚乱，这是演练唯一的意义。演练时顺便检查一遍密码纸条还在不在老地方，一箭双雕。

忘了密码还有救吗？

基本没救，这是设计如此。BitLocker 除外，它有 48 位恢复密钥，开启时务必保存到微软账号或打印出来；如果两个都弄丢，硬盘同样打不开，只能全盘格式化重装。VeraCrypt 完全没有后门，密码忘了容器里的数据就是一堆随机字节，神仙难救。所以密码保管这件事怎么强调都不过分：写下来、放好、告诉信任的人，这三步一个都不能少。家里有老人的，把他们的关键密码也一起整理一份，免得需要时全家抓瞎。