Rychlá odpověď
O tom, jestli se z nefunkčního MacBooku dají dostat data, nerozhoduje rozsah poškození, ale generace stroje. U Intel modelů zhruba do roku 2017 je úložiště samostatné a bez zapnutého FileVaultu bývá čitelné i jinde. U modelů s čipem T2 (2018–2020) a u všech s čipem Apple (M1 a novější) je obsah interního disku šifrovaný vždy a klíče leží v Secure Enclave konkrétního kusu — po smrti desky se proto nedají číst nikde jinde a jediná cesta vede přes její alespoň částečné oživení. Pokud MacBook ještě naskočí, přestaňte řešit opravu a udělejte zálohu teď; to je nejlevnější záchrana dat, jaká existuje.
Tenhle text je o situaci, kdy záloha není. Když ji máte a zlobí, patří to jinam — obnovu ze zálohy a poškozené archivy Time Machine rozebírá článek záchrana dat z MacBooku: Time Machine, FileVault a pájený SSD. Tady jde o pořadí kroků a o realistický odhad šancí, když je v počítači jediná kopie.
Nejdřív jedna otázka: naskočí stroj ještě?
Znělo by to banálně, kdyby ne jedna věc — mezi „naskočí” a „nenaskočí” leží největší rozdíl v ceně i v šancích, jaký v tomhle oboru existuje. Když MacBook dojede k přihlašovací obrazovce, jsou data v podstatě vaše a stačí je vynést ven. Když nedojede, začíná práce na desce.
Proto platí nepříjemná, ale férová rada: jestli počítač právě teď funguje a vy tenhle článek čtete kvůli tomu, že „poslední dobou zlobí”, nedočtěte ho a zazálohujte. Vypínání uprostřed práce, náhodné restarty, ventilátor na plné obrátky, sporadické černé obrazovky nebo nenaběhnutí po aktualizaci jsou u Maců typické předzvěsti závady desky. Až se to zlomí, žádná záloha vzniknout nestihne.
A jedna kontrola zdarma: přihlaste se z jiného zařízení do iCloudu a podívejte se, co v něm reálně je. U hodně lidí je Plocha a Dokumenty synchronizovaná, aniž by o tom věděli — a hledaný soubor je venku z počítače.
Generační zlom rozhoduje o všem
Apple v roce 2018 změnil konstrukci tak, že se změnila i podstata záchrany dat. Nejde ani tak o to, že je úložiště připájené, jako o to, že je od začátku šifrované a svázané s konkrétním křemíkem.
| Generace | Příklady modelů (identifikátor Apple) | Co to znamená pro data |
|---|---|---|
| Intel bez T2, zhruba do roku 2017 | MacBook Pro (Retina, 13″/15″, 2012–2015) — MacBookPro10,2, MacBookPro11,1, MacBookPro12,1, MacBookPro11,4; MacBook Pro 2016–2017 — MacBookPro13,x a MacBookPro14,x; MacBook Air 2010–2017 — MacBookAir3,1 až MacBookAir7,2 | Úložiště je samostatné. Bez zapnutého FileVaultu se dá obsah číst i mimo původní počítač — cesta k datům se řídí stavem samotného média. |
| Intel s čipem T2, 2018–2020 | MacBook Pro (2018–2020) — MacBookPro15,x a MacBookPro16,x; MacBook Air (Retina, 2018–2020) — MacBookAir8,1, MacBookAir8,2, MacBookAir9,1 | Obsah je šifrovaný vždy. Klíč je vázaný na Secure Enclave téhle desky; vyjmuté médium je v jiném počítači nečitelné. |
| Čip Apple, od konce roku 2020 | MacBook Pro 13″ M1 (2020) — MacBookPro17,1; MacBook Pro 14″/16″ 2021 — MacBookPro18,3, MacBookPro18,4, MacBookPro18,1, MacBookPro18,2; MacBook Air M1 (2020) — MacBookAir10,1; MacBook Air M2 (2022) — Mac14,2; MacBook Air M3 (2024) — Mac15,12, Mac15,13; MacBook Air M4 (2025) — Mac16,12, Mac16,13 | Totéž jako u T2, jen důsledněji. Data žijí a umírají s deskou; laboratorní cesta vede přes její opravu. |
Tabulka není příslib výsledku pro konkrétní kus. Slouží k tomu, abyste do poptávky nešli s „nejde mi MacBook”, ale s generací — ta určuje, jestli se bavíme o práci s médiem, nebo o práci s deskou.
Identifikátor modelu (například MacBookPro14,1) najdete u běžícího Macu v Informacích o systému a Apple ho ke každému modelu uvádí na svých identifikačních stránkách. U nespustitelného stroje pomůže označení ze spodní strany šasi; jak ho přečíst, popisuje jak zjistit přesný model Apple zařízení před poptávkou.
Co znamená „šifrované vždycky”
Tohle bývá pro majitele největší překvapení, protože FileVault vědomě nikdy nezapnuli. Podle Apple ale všechny svazky APFS vznikají se šifrovacím klíčem svazku — a pokud FileVault při prvním nastavení Macu nezapnete, je svazek stále šifrovaný, jen je jeho klíč chráněný pouze hardwarovým UID v Secure Enclave.
Praktické důsledky se dají shrnout do tří vět:
- Na Macu s čipem Apple a s čipem T2 probíhá veškerá práce s klíči uvnitř Secure Enclave a klíče se nikdy nedostanou k procesoru. Nejsou nikde na disku ve srozumitelné podobě, ze které by je šlo vytáhnout.
- Bez platných přihlašovacích údajů nebo obnovovacího klíče zůstávají interní svazky APFS zašifrované i tehdy, když se médium fyzicky vyjme a připojí k jinému počítači. Nejde o překážku konkrétní laboratoře, ale o účel konstrukce.
- Hierarchie klíčů je navržená přímo proti čtení média mimo Mac — jedním z jejích deklarovaných cílů je znemožnit útok hrubou silou na paměť vyjmutou z počítače.
Z toho plyne odpověď na nejčastější dotaz: přenos paměťových čipů na jinou desku nedává výsledek, protože cizí Secure Enclave klíče původního stroje nezná. Proč nefunguje ani odpájení čipů, je podrobně rozebrané v článku o Time Machine a pájeném SSD.
FileVault přidává ještě jeden zámek
Šifrování „samo od sebe” a zapnutý FileVault nejsou totéž. Když FileVault zapnete, je klíč navíc chráněný kombinací vašeho hesla a hardwarového UID a při startu se heslo vyžaduje. Vzniká tím druhá bariéra, která platí i pro vás:
- Bez hesla a bez obnovovacího klíče se data nedají dešifrovat. Obnovovací klíč je posloupnost 24 znaků, kterou macOS vygeneruje při zapnutí FileVaultu.
- Klíč může být uložený v klíčence a synchronizovaný přes iCloud Klíčenku — pokud jste to tak nastavili, stojí za pokus podívat se do Hesel na jiném zařízení dřív, než ho odepíšete.
- Ve firmě ho může mít uschovaný správa zařízení. U služebního MacBooku je první telefonát na IT, ne do servisu.
U starších Intel modelů bez T2 je situace opačná: pokud FileVault zapnutý nebyl, šifrování se neuplatní a data jsou čitelná normálně. Právě proto se u nich dá pracovat s médiem samostatně.
Dokud stroj naskočí: jak dostat data ven
Tři cesty, seřazené podle toho, jak často fungují:
- Záloha Time Machine na externí disk. I jednorázová záloha spuštěná dnes večer je lepší než plán zálohovat pravidelně. Když MacBook ještě nabíhá, je tohle nejrychlejší a nejúplnější řešení.
- Sdílení disku (Mac s čipem Apple). Spusťte Mac do režimu zotavení macOS, zvolte Utility → Sdílení disku, vyberte svazek a klikněte na Začít sdílet. Oba počítače propojte kabelem USB, USB‑C nebo Thunderbolt; na druhém Macu pak otevřete Finder → Síť, dvakrát klikněte na sdílený Mac, zvolte Připojit jako → Host a soubory přeneste.
- Diskový režim (starší Intel Mac). Obdoba téhož u modelů před přechodem na čip Apple — Mac se propojí kabelem s druhým počítačem a připojí se jako externí disk.
Sdílení disku má jednu podmínku, kterou se nevyplatí přejít: pokud je zapnutý FileVault, budete stejně potřebovat heslo. Bez něj se svazek nepřipojí, i když stroj jinak nastartuje.
A ještě jedno varování ze stejné rodiny: v režimu zotavení nespouštějte mazání svazku ani přeinstalaci naslepo. Přeinstalace „přes data” bývá vratná, smazání svazku ne.
Kdy je to práce pro laboratoř
Do laboratoře patří MacBook ve chvíli, kdy nenaskočí a domácí kroky už jen zvyšují riziko. Typicky:
- Po polití. Koroze na desce pracuje i ve vypnutém stavu, pod napětím rychleji. Čím dřív se deska rozebere a vyčistí, tím lepší vyhlídky.
- Po pádu nebo přepětí, kdy stroj nejeví žádné známky života.
- Po neúspěšném zásahu, ať už vlastním, nebo cizím.
- Když se stroj rozbíhá a hned vypíná nebo naskočí jen občas — každý další pokus může být poslední.
Co se u nefunkčního Macu reálně dělá: měří se napájecí větve, ověřuje se stav procesoru a Secure Enclave a hledá se způsob, jak desku dostat aspoň do stavu, ve kterém svazek odemkne a dá se z něj číst. Rozhoduje živý čip, ne „dobrý disk” — a to je taky důvod, proč u MacBooků neslibujeme nic po telefonu.
U starších Intel modelů bez T2 se naopak pracuje s médiem samostatně a šance se odvíjejí od jeho stavu, ne od stavu počítače.
Kde končí naše služba
Data z disků, SSD, RAID polí a MacBooků děláme ve vlastní laboratoři v Brně. Záchranu dat z mobilních telefonů ne — ani z iPhonů, ani z Androidů, ani jako doplněk k opravě. Když se ptáte na telefon, řekneme to rovnou a nebudeme vás držet.
U MacBooku je to jinak: to je legitimní zakázka a přijmeme ji. Zavolejte na 775 556 063 (linka záchrany dat) nebo napište přes kontaktní stránku; co všechno u nás záchrana dat zahrnuje, je na stránce záchrana dat.
Co si připravit k poptávce
- Celý MacBook a nabíjecí adaptér — ne jen vyjmutý díl.
- Přesnou generaci nebo identifikátor modelu, ideálně i sériové číslo pro soukromé ověření (do veřejného inzerátu ani do e-mailu třetí straně nepatří).
- Heslo k uživatelskému účtu a údaje k účtu Apple; bez nich se u novějších modelů nedostaneme ani k odemčení svazku.
- Obnovovací klíč FileVaultu, pokud jste si ho při zapnutí uložili.
- Popis toho, co závadě předcházelo — pád, tekutina, aktualizace, nečekané vypnutí. Pořadí událostí diagnostice pomáhá víc, než se zdá.
- Seznam toho, na čem záleží nejvíc. Úspěchem není nález libovolných starých souborů, ale obnova konkrétních složek.
Jak vypadá příjem, nález a schválení práce, popisuje jak probíhá diagnostika Apple zařízení a schválení opravy. U firemních strojů se k tomu přidává otázka vlastníka a správy — ta patří do firemního servisu MacBooků a iPadů.
Časté dotazy
Jde vytáhnout data z MacBooku Air M1 (2020), který nejde zapnout?
Někdy ano, ale nerozhoduje o tom disk. MacBook Air M1 (MacBookAir10,1) má obsah úložiště šifrovaný a klíče v Secure Enclave, takže cesta k datům vede přes oživení původní desky. Pokud procesor se Secure Enclave přežil, bývá k datům cesta; pokud ne, nezpřístupní je žádná technologie.
MacBook Pro 13″ z roku 2015 nenabíhá — dá se disk přečíst v jiném počítači?
U modelů z let 2012–2015 (například MacBookPro12,1) je úložiště samostatné a bez zapnutého FileVaultu bývá čitelné i mimo původní počítač. Šance se pak odvíjejí od stavu samotného média, ne od stavu notebooku. Se zapnutým FileVaultem potřebujete heslo nebo obnovovací klíč.
Mám MacBook Pro z roku 2018 a FileVault jsem nikdy nezapnul. Jsou data nešifrovaná?
Ne. MacBook Pro z let 2018–2020 má čip T2 a svazek APFS je šifrovaný i bez zapnutého FileVaultu — jen je klíč chráněný pouze hardwarovým UID v Secure Enclave. Vyjmuté médium je proto v jiném počítači nečitelné tak jako tak.
Opravíte mi desku, když jde jen o data?
To je přesně ta otázka, kterou má smysl položit předem. U záchrany dat je cílem dostat stroj do stavu, ve kterém jednou odemkne svazek a nechá se z něj číst — ne aby fungoval dál. Bývá to jiný rozsah práce než plnohodnotná oprava a je férové vědět, co si objednáváte.
Zachráníte data z iPhonu, když už MacBook děláte?
Ne. Záchranu dat z mobilních telefonů nenabízíme. U telefonu je jedinou ochranou obsahu záloha pořízená v době, kdy zařízení ještě funguje.
Zdroje
- Apple: Volume encryption with FileVault in macOS
- Apple: Macy s čipem Apple T2 Security
- Apple: Počítače Mac s čipem Apple
- Apple: Použití režimu zotavení macOS na Macu s čipem Apple
- Apple: Přenos souborů mezi dvěma počítači Mac s využitím diskového režimu
- Apple: Určení modelu MacBooku Pro
- Apple: Určení modelu MacBooku Air
- Apple: Zálohování Macu pomocí Time Machine