當Mac升級到Catalina時，蘋果在硬碟裡施了點魔法|數位時代 BusinessNext

當Mac升級到Catalina時，蘋果在硬碟裡施了點魔法

macOS Catalina升級後出現的小問題，不少應用程式出現2個路徑，蘋果對mac的硬碟悄悄做了一些手腳。

當我升級macOS Catalina後，卻發現一件我煩心的事：

用Alfred搜尋時，不少應用程式都會重複出現。當我按照兩個應用程式顯示的路徑去查看，卻發現了讓我不解的現象：Macintosh HD/Applications路徑一直都是應用安裝的預設路徑，沒有問題。但這個System/volumes/Macintosh/Applications文件夾從何而來？

更加奇怪的是，仔細看顯示的路徑，從Macintosh HD盤符開始的路徑，居然又回到Macintosh HD，彷彿是陷入了自我循環。

想弄清這兩個問題，就要回到在Catalina升級時，去看看硬碟裡發生的事情。

1

一切要從macOS的系統文件的安全性開始講起。

從El Capitan開始，Apple工程師給macOS加上了「系統完整性保護」技術。這就像給書櫃的某些抽屜加上了鎖，沒有鑰匙就拿不到裡面的文件，這樣系統文件就不會被輕易篡改。

不過有鎖就有鑰匙，只要獲得了root權限，惡意程式還是能讀寫系統文件。

到了Catalina，Apple工程師想了一個更徹底的辦法：那就是將所有系統文件從原本的文件系統中分離出來，組成獨立的文件系統，並且把這個文件系統從設計上設定為只能讀取，不能寫入。

就好像買了一個新書櫃專門用來放重要文件，而且這個書櫃壓根就沒有可以打開的地方，這樣系統文件就很難被惡意修改。

具體要如何實現呢？首先要感謝macOS High Sierra中開始使用的新文件系統——APFS，它可以輕鬆地在一塊磁碟中創建多個邏輯捲。

在安裝Catalina時，會在磁碟中新建一個Macintosh HD邏輯捲，並且將原來的邏輯捲改名為Macintosh HD Data。新建的Macintosh HD邏輯捲就是專用來存放系統文件的「書櫃」，整個邏輯捲都是只讀的。Macintosh HD Data就像之前一樣，讓用戶自由地讀寫數據、安裝應用。

創建好Macintosh HD之後，Macintosh HD Data中的系統文件就會被剪切到系統卷Macintosh HD，組成獨立的文件系統。

至此，透過分離系統文件到獨立邏輯捲的操作就完成了。無論程序在Macintosh HD Data邏輯捲對文件系統做什麼，都不會影響Macintosh HD中的系統文件。

在一塊硬碟上設置兩個文件系統，實現了Apple工程師們想要系統安全性。不過如果就此結束，可就苦了用戶和開發者們了。

2

一塊磁碟同時存在兩個邏輯捲、兩套文件系統會造成什麼問題呢？

對於用戶來說，會明顯感受到文件系統的不統一。最明顯的是在Finder中，如果不加以處理，你應該會同時看到Macintosh HD Data與Macintosh HD。而且就像Windows上的不同分區，找起文件來會比單一邏輯捲麻煩得多。

而對開發者來說，問題就嚴重的多。現在所有系統文件都會被移到了Macintosh HD中，而第三方應用只能待在Macintosh HD Data。不少應用程式會依賴系統程序和文件，如果開發者不加以適配，按照原來設定好的路徑就會找不到系統文件，應用就無法使用了。這種純粹因為Apple引起的「技術債」，開發這可不會樂意花自己的時間去還。

為了讓用戶和程式將這兩個原本獨立的文件系統，當作一個統一的文件系統來使用，Apple用「卷組」和「firmlink」這兩項技術，來了一場障眼法表演。

為了解決兩個邏輯捲的顯示問題，Apple工程師引入了「卷組」這一概念，一個卷組由一個系統卷（Macintosh HD）和一個數據卷（Macintosh HD Data）組成。數據卷會像一塊外置硬碟一樣，被掛載在 /System/Volumes 目錄下，這樣兩個文件系統就合成了一個文件系統。而在Finder邊欄中，只有Macintosh HD會顯示出來。這樣普通用戶就不會察覺到硬碟中存在著兩個邏輯捲，只有當你打開Disk Utility時，就會看到兩個邏輯捲。

這種程度的障眼法瞞得過普通用戶，卻瞞不過應用程式。一方面前文所說的文件路徑的問題沒有被解決，另一方面應用程式文件數量巨大，而且需要頻繁讀取，簡單的直接掛載在/System/Volumes目錄下，不加以處理的話，會極大地消耗電腦的硬體資源。

為了填這個坑，Apple工程師引入了firmlink技術。

firmlink是什麼呢？用Apple工程師自己的原話說，它就是數據卷與系統卷之間的「雙向蟲洞」。聽上去很複雜，其實從實際效果去看的話，是很容易理解的。

既然我們是想讓兩個系統看上去像一個完整的文件系統，那我們給數據卷中的文件在系統卷中創建一個替身，結合系統文件和替身，不就得到了一個完整且單一的文件系統了嗎？

這個數據卷中的文件在系統卷中的替身，就是firmlink。例如 /Users 是Macintosh HD Data中的文件夾，但它在系統卷的根目錄下有一個firmlink。所以你在硬碟的根目錄中看到的/Users，真實的目錄地址其實是 /System/Volumes/Data/Users/ 。如果你想知道自己Mac為哪些文件創建了firmlink，可以打開 /usr/share/firmlinks 查看。

當然firmlink的厲害之處，在於應用程序可以透過它，遍歷整個系統卷的文件系統。例如程序可以從數據卷中的/System/Volumes/Data/Users/用户名/Desktop，直接透過 /System/Users/用户名/Desktop 的路徑回到系統卷中，這樣就大大減少了不必要的資源消耗。而且從應用程式的視角去看，系統文件一直存在於它原來的位置。這樣一來，開發者完全不需要因為新的文件系統做任何適配。

利用firmlink，無論是在Finder，還是實際的文件目錄中，不管是用戶還是應用程序，都被Apple的障眼法瞞了過去，將系統捲和數據卷的文件系統當成統一的文件系統。

知道了firmlink和卷組的存在，我們終於能解釋文章開頭的問題。

3

首先，系統中並不存在兩個重複的應用程式。數據卷Macintosh HD Data負責第三方應用的安裝，所以System/volumes/Macintosh/Applications才是應用的真實目錄，而Macintosh HD/Applications只是它的firmlink。解決辦法也很簡單，在Alfred中輸入reload命令，Alfred就會恢復正常。

而Macintosh HD邏輯捲在Finder中出現自我循環的現象，其實只是Finder施加的一點小魔法。

前文解釋過，Macintosh HD Data被掛載在了系統卷的/System/Volumes目錄中，所以這個目錄中的Macintosh HD，其實是Macintosh HD Data，只不過為了避免使用者因為不熟悉這個名字，對其誤操作（對數據卷內的文件用戶是可以寫入和刪除的！），同時也讓文件系統看上去完整，Finder將它顯示成了Macintosh HD。不信？用Terminal或者其他終端查看下，就能看到 /System/Volumes 目錄下文件夾的真實名字。

忙活了半天，Apple工程師終於可以安心，再也不會被客服追著問：這裡有Mac用戶誤刪了系統文件，要怎麼修復啊？

這項技術這麼好，用在iOS行不行啊？行啊！而且實際上，iOS上的系統文件早就被放在單獨的系統卷中保護起來了。

這下誰是Apple的親兒子，一目了然了。

參考目錄
- What's New in Apple File Systems - WWDC 2019 - Videos - Apple Developer

本文授權轉載自：少數派

當CRA成為市場門票，企業該如何建立產品安全治理能力？

合勤投資控股公司資安長游政卿指出，CRA正式生效後，產品若未符合CRA 要求，將可能影響CE合規與歐盟市場銷售。更重要的是，CRA要求的不只是產品出貨當下符合規範，而是整個產品生命週期都必須被持續管理，且必須留下具可追溯性的完整紀錄。

因此，對台灣企業而言，CRA帶來的壓力不只是罰款，而是產品遭下架、召回，甚至進一步引發銷售通路中斷、品牌聲譽受損與客戶轉單等連鎖衝擊。對此，游政卿建議企業可依照CRA法規時程，兩階段建立合規能力。

在 2026 年應優先補強「通報即戰力」，亦即成立產品安全事件應變小組（PSIRT），建立漏洞通報與應變機制，確保當新漏洞出現時，企業能在第一時間做出正確判斷，包括該漏洞是否已被利用及嚴重程度、哪些產品與版本受到影響、是否達到CRA通報門檻及如何進行修補與升級。「就像汽車召回制度一樣，企業必須能快速掌握受影響的產品、版本與客戶範圍，並立即啟動應變機制。」游政卿說。

到了 2027 年，則應進一步將合規能力全面制度化與規模化。游政卿強調，企業不能再抱持「有問題再修補」的思維，而是必須從產品設計階段就導入「Security by Design（安全設計）」概念，並在產品整個生命週期中持續進行漏洞監控、更新維護與風險管理。換言之，企業真正需要建立的，不只是單一產品的資安能力，而是一套從設計、開發、測試、上市，到後續漏洞修補、客戶通知與紀錄保存，都能長期穩定運作的產品安全治理機制。

在此基礎上，黑貓資訊通過 TAF ISO/IEC 17025 認證的資安測試實驗室，可出具 ILAC MRA 國際互認報告，不僅能找出產品漏洞，還能協助企業建立具公信力的安全證明，確保產品安全與合規性。

Nebula 雲地聯防平台：讓企業從「看不見風險」到快速應變

在產品安全端，企業需要建立CRA合規能力，落實產品從設計、開發到漏洞修補的全生命週期治理；而在資訊安全端，則必須具備持續監控、快速應變與營運復原的能力，才能有效因應AI時代下愈來愈高頻、愈來愈自動化的攻擊威脅。

兆勤科技總經理蔡明見進一步說明，AI 正大幅改變資安攻擊的態樣，不僅讓攻擊成本明顯下降，攻擊速度與頻率也快速提升，攻擊目標更從過去的大型企業，逐漸轉向防禦能力相對薄弱的中小企業，尤其勒索軟體攻擊更明顯增加。許多中小企業因缺乏備援與復原能力，遭受攻擊後往往只能選擇支付贖金，進而衍生營運中斷與資料遺失等風險。

在此背景下，企業需要思考的，已不僅只是「防堵威脅」，更重要的是，當攻擊發生後，能否持續營運與快速復原。瞄準這樣的需求，兆勤透過自行研發的 Nebula雲端管理平台提升資安可視性，讓企業能夠「看見風險」，進而做好防禦、預警與應變。透過Nebula雲地整合架構，企業可將有線、無線及資安設備全面整合至單一平台進行管理。蔡明見表示，管理者不需分別學習與使用不同管理介面，即可掌握整體網路與資安狀態，大幅降低資安管理的複雜度、人力需求與技術門檻。

此外，Nebula提供圖像化儀表板與彈性報表功能，協助企業快速掌握攻擊來源、異常流量與高風險設備等資訊，進一步優化資安策略與決策效率。同時平台亦導入 AI 助手功能，讓管理者可透過自然語言查詢資安資訊，例如直接詢問「上個月前十大攻擊來源」，系統即可自動生成分析結果與視覺化報表，提升資訊取得效率。

面對 MSP（Managed Service Provider，託管服務商）發展趨勢，兆勤也持續開發更多 MSP 管理功能，包括客戶設備管理、授權管理等，協助合作夥伴更有效率地服務終端客戶、降低維運與管理負擔，進而吸引更多傳統經銷夥伴轉型為 MSP 業者，加速服務模式轉型與台灣 MSP 生態系發展。

至於勤晁科技則針對量子運算與跨域滲透威脅，提出「虛實整合防線」的新思維。防護架構由內而外拆解為三層：首先是運用邏輯防護（PQC）演算法進行加密、確保資料的長期安全性；其次是進行異常偵測、運用 AI 分析多維流量，即時發現異常行為；第三是建立物理韌性（Air Gap），以單向光纖傳輸築起不可逆的安全邊界。透過這套從邏輯、行為到物理層的縱深防禦機制，為國家級關鍵系統構築最穩固的安全韌性。

資安不只是 IT 部門的防守任務，而是攸關產品能否進入國際市場、企業能否持續營運的重要競爭力。合勤集團希望透過黑貓資訊、兆勤科技與勤晁科技的整合布局，從產品安全、資安防護到關鍵場域防禦，逐步提升企業的資安韌性，並協助企業從被動合規走向主動升級，在快速變化的全球市場中建立長期競爭優勢。