Android 5.0 Lollipop 強制預設開啟 全盤加密（Full Disk Encryption, FDE），並引入 SELinux Enforcing 模式，大幅提升資料安全性。本文深入解析加密原理、效能影響、解密流程與用戶權衡。

一、什麼是全盤加密（FDE）？

• 範圍：/data 分區（使用者資料、App 資料、設定）完整加密。/system、/vendor 等系統分區不加密（簽名驗證保護完整性）。
• 演算法：AES-128-CBC-ESSIV:SHA256（預設），金鑰長度 128-bit。
• 金鑰管理：主金鑰 (DEK) 由隨機數產生，再以使用者鎖屏密碼/PIN/圖案衍生的 KEK (Key Encryption Key) 加密保存於加密元資料區（/data/unencrypted/key 或 /metadata/encryption）。
• 開機流程：Bootloader → Kernel → init → 掛載 /data 前要求輸入密碼 → 衍生 KEK → 解密 DEK → 掛載 /data → 啟動 Zygote → 系統就緒。

二、為何 Android 5.0 強制預設開啟？

• 安全基線提升：防止實體存取攻擊（手機遺失/被竊、司法取證、維修人員竊取資料）。
• 避免用戶疏忽：早期版本加密選項隱藏於深層設定，啟用需長時間等待，用戶多不啟用。預設開啟實現「開箱即安全」。
• 回應 iCloud 洩露等事件：業界對靜態資料加密重視度提高。

三、效能與體驗影響

面向	影響	緩解措施
開機時間	增加 10-30 秒（輸入密碼+解密掛載）	使用指紋/智慧解鎖減少輸入等待
讀寫效能	順序讀寫下降 10-20%，隨機 IOPS 下降更明顯	硬體加密引擎（eMMC 5.1 / UFS 2.0+ 內建 AES 引擎）可近零損耗
記憶體	無額外佔用	—
OTA 升級	需先解密 /data，升級稍慢	—
資料救援	忘記密碼 = 資料永久不可讀（無後門）	定期備份、記住密碼、啟用 Google 備份

四、硬體加速加密：關鍵硬體門檻

Android 6.0+ 強制要求新機支援硬體加密引擎（AES-XTS 256-bit），搭配 UFS 2.1/3.0/4.0 儲存，實測加密效能損耗 < 3%，體感無差異。早期 Android 5.0 機型（如 Nexus 5/6、Note 4）多為軟體加密，效能損耗明顯。

五、檢查加密狀態

• 設定 → 安全 → 加密手機 → 顯示「已加密」。
• ADB：adb shell getprop ro.crypto.state 回傳 encrypted。
• 終端機：ls -l /dev/block/platform/*/by-name/userdata 指向 dm-0 等 dm-crypt 映射裝置。

六、可否關閉？

• 官方不提供關閉介面。僅能透過解鎖 Bootloader → 刷入未加密的 custom boot.img / 修改 fstab 移除 fileencryption=ice / encryptable=ice 旗標 → 格式化 /data 重裝系統。風險極高，非必要不建議。
• Android 10+ 改用 檔案級加密 (FBE)，支援 Direct Boot（解鎖前仍能啟動鬧鐘、來電顯示等），架構更先進。

七、給用戶的建議

1. 接受預設加密：安全收益遠大於效能成本，現代硬體幾乎無感。
2. 設定強密碼：PIN 6 位數以上、字母數字混合密碼，抵禦暴力破解。
3. 啟用指紋/面部/智慧解鎖：平衡安全與便利。
4. 定期雲端/本地備份：防遺失、損壞、忘記密碼導致資料永失。

Android 5.0 的預設加密是移動端安全史上的里程碑，讓「資料保護」從選配變標配，保障每位用戶的數位資產。