Allwedd Ddiogelwch Gliniaduron neu Galedwedd Wedi'i Dwyn mewn Caffi neu Lolfa Maes Awyr: Sesiwn Lladd ar Unwaith¶

Cael eich gliniadur wedi'i gipio oddi ar fwrdd siop goffi, desg gydweithio, neu sedd lolfa maes awyr tra bod y sgrin yn effro ac wedi'i datgloi, neu sylweddoli bod lleidr wedi cerdded i ffwrdd gyda'ch bag gliniadur tra bod eich allwedd diogelwch caledwedd FIDO2 (YubiKey) yn dal i gael ei blygio i mewn i'r porthladd USB-C, yw'r argyfwng diogelwch corfforol-i-ddigidol gwaethaf y gall gweithiwr o bell neu beiriannydd meddalwedd ei wynebu. Yn wahanol i liniadur wedi'i bweru wedi'i ddwyn o ystafell westy (lle mae amgryptio disg lawn fel FileVault neu BitLocker yn cadw'r gyriant dan glo), mae gliniadur cynnes heb ei gloi yn rhoi eich RAM dadgryptio i'r lleidr, rheolwr cyfrinair heb ei gloi (1Password / Bitwarden), cwcis dilysu porwr byw, yn weithredol AWS / GCP / Azure Manylion CLI, a heb eu hamgryptio -/.ssh allweddi preifat ar blât arian.

Os oedd y snatch-and-grab yn cynnwys ymosodiad corfforol, lladrad, neu fygythiadau arfau, symudwch i leoliad diogel ar unwaith a ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig; gweler rhifau brys) ac adolygu ein lladrad a mygio goroesi canllaw. Peidiwch byth â mynd ar ôl lleidr gliniaduron arfog neu sy'n ffoi i stryd neu gerbyd. Yn lle hynny, tynnwch eich ffôn clyfar allan o'ch poced o fewn y ** 60 eiliad cyntaf** a gweithredwch yr union ddilyniant lladd sesiwn a chlo caledwedd wrth groesgyfeirio gliniadur gwaith wedi'i ddwyn neu ei dorri wrth deithio: clo MDM ac adferiad amser segur sero, cwymp cronfa ddata cynhyrchu damweiniol, gollyngiad cyfrinachol git, a brysbennu digwyddiadau, a diogelwch gwaith o bell brys a phreifatrwydd data.

Gwnewch hyn nawr¶

1. PEIDIWCH Â CHWILIO Y LLID; tynnwch eich ffôn clyfar allan o fewn 15 eiliad a sbarduno Clo Caledwedd Anghysbell (Find My / Find My Device / Corporate MDM) CYN i'r lleidr roi'r gliniadur mewn bag Faraday neu ddiffodd Wi-Fi. Pan fydd lleidr yn cipio gliniadur agored oddi ar fwrdd y caffi, mae'r gliniadur yn aros yn gysylltiedig â Wi-Fi y caffi (neu fan cychwyn eich ffôn) am y tro cyntaf 30 to 90 seconds wrth iddynt redeg i lawr y bloc:
   • MacBook (iPhone Find My App): Agor Dod o Hyd i Fy -> Dyfeisiau -> [Eich MacBook] -> Marcio Fel Ar Goll (Activate) a rhowch PIN clo 4-i-6 digid. Mae'r amrantiad y mae'r gorchymyn hwnnw'n taro'r MacBook dros Wi-Fi, mae macOS yn terfynu'r sesiwn defnyddiwr gweithredol, yn gorfodi sgrin clo firmware / OS, ac mae angen tystlythyrau amgryptio FileVault i ail-mynd i mewn.
   • ** Gliniadur Windows 11:** Ar borwr eich ffôn, agorwch account.microsoft.com/devices -> dewiswch eich gliniadur -> tapiwch Dod o hyd i'm dyfais -> Cloi.
2. Os oedd eich gliniadur wedi'i gysylltu â Man problemus Personol eich ffôn clyfar, PEIDIWCH â diffodd eich man cychwyn am y 60 eiliad cyntaf TAN i chi glicio "Mark As Lost / Remote Lock", yna torrwch ef yn syth ar ôl hynny. Os yw'r lleidr yn dal o fewn 15 metr (50 troedfedd) i chi y tu allan i'r caffi, efallai mai man cychwyn Wi-Fi gweithredol eich ffôn yw'r cysylltiad rhyngrwyd *yn uniongyrchol. Mark As Lost lladd gorchymyn i'r gliniadur agored. Arhoswch 30 eiliad i'r gorchymyn clo drosglwyddo, yna toglwch Personal Hotspot OFF a Bluetooth OFF (sydd hefyd yn sbarduno MacOS / Windows Dynamic Lock os yw wedi'i baru).
3. Ffoniwch Linell Gymorth Diogelwch TG/SOC eich cwmni ar eich ffôn (0 to 3 minutes) i danio Diddymiad Sesiwn IdP Byd-eang (Okta / Microsoft Entra ID / Google Workspace) A Sychwr o Bell MDM (Jamf / Intune / Kandji). Hyd yn oed os yw'r lleidr yn cadw sgrin y gliniadur yn effro trwy jigglo'r trackpad ac yn diffodd Wi-Fi, mae dirymu eich tocynnau adnewyddu a mynediad Sengl Sign-On (SSO) ar weinydd y cwmwl yn gwarantu y bydd yr eiliad y mae'r lleidr yn ailgysylltu'r gliniadur i * unrhyw gysylltiad rhyngrwyd * i gael mynediad at Slack, Gmail, GitHub, neu AWS, mae pob sesiwn we gorfforaethol eisoes wedi marw (401 Unauthorized).
4. Os yw eich Rheolwr Cyfrinair (1Password, Bitwarden, LastPass, Dashlane, Apple Passwords) wedi'i ddatgloi ar y gliniadur, ANADAUTHORISIWCH y ddyfais sydd wedi'i dwyn o'ch app ffôn ar unwaith. Agorwch 1Password neu Bitwarden ar eich ffôn symudol, ewch i Rheoli Cyfrif / Web Vault -> Sesiynau Gweithredol / Dyfeisiau Awdurdodedig, a chliciwch ar Dadawdurdodi / Diddymu ar y gliniadur sydd wedi'i ddwyn, yna trowch eich Prif Gyfrinair os oes copi wrth gefn clir-destun yn bodoli.
5. Os yw Allwedd Ddiogelwch Caledwedd (YubiKey 5C Nano / Titan Key) wedi'i blygio i mewn i borth USB y gliniadur (neu wedi'i gysylltu â chylch allweddi wedi'i ddwyn), mewngofnodwch i'ch cyfrifon o'ch ffôn gan ddefnyddio'ch Allwedd Wrth Gefn neu Gyfrinair a DILEU'r tystlythyr FIDO2 penodol hwnnw. Tra bod allwedd caledwedd FIDO2 angen ** PIN FIDO2 (4 to 63 characters)** ar gyfer digyfrinair resident-key mewngofnodi, pan gaiff ei ddefnyddio fel ail ffactor (U2F / WebAuthn non-discoverable) ar liniadur lle mae eich porwr eisoes wedi cadw eich enw defnyddiwr a chyfrinair, ** mae unrhyw un sy'n cyffwrdd â'r cyswllt cynhwysedd aur ar yr YubiKey yn pasio 2FA heb PIN**.
6. ** Diddymu a chylchdroi pob tystlythyr datblygwr lleol sydd wedi'i storio yn eich ffolder cartref (-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env ffeiliau, a Thocynnau Mynediad Personol GitHub/GitLab).** Hyd yn oed os caiff cwmwl SSO ei ladd, mae gan ymosodwr sy'n cadw gliniadur heb ei gloi yn effro fynediad system ffeiliau amrwd i bob allwedd SSH heb ei amgryptio a thocyn API cwmwl yn eich hanes terfynell (-/.zsh_history / -/.bash_history).

Coeden benderfynu: Gliniadur heb ei gloi yn erbyn lladrad allwedd diogelwch caledwedd vs syrffio ysgwydd¶

Dilynwch y siart llif brysbennu cyflym hwn yn ystod y 15 munud cyntaf ar ôl caffi, man cydweithio, neu ddigwyddiad diogelwch maes awyr.

flowchart TD
    A["Argyfwng Diogelwch Gweithle Cyhoeddus (Caffi, Man Coworking, Lolfa Maes Awyr, Trên)"] --> B{"Beth yn union ddigwyddodd?"}
    B -->|"Gliniadur wedi'i Gipio Tra WEDI EI DDATLO/AGOR"| C["0-60au: Ar eich ffôn, sbardunwch Apple Find My 'Mark As Lost' neu 'Dyfais Cloi' Microsoft -> Ffoniwch SOC TG Corfforaethol ar gyfer Cloi MDM/Sychwch + Lladd Sesiwn SSO Byd-eang"]
    B -->|"Gliniadur wedi'i Ddwyn Tra Wedi'i Gloi / Caead ar Gau / Wedi'i Bweru i ffwrdd"| D["Mae FileVault / BitLocker yn amddiffyn disg wrth orffwys -> Sbardun Darganfod Fy / MDM Sychwch o Bell -> Cylchdroi cyfrinair SSO a dirymu sesiynau cwmwl gweithredol"]
    B -->|"Allwedd Ddiogelwch Caledwedd (YubiKey) wedi'i Dwyn (Ar Unig neu Wedi'i Phlygio i'r Gliniadur)"| E["Mewngofnodwch i IdP (Okta/Entra/Google), GitHub, AWS, a Rheolwr Cyfrinair o'ch ffôn gan ddefnyddio Allwedd Wrth Gefn/Passkey -> Dileu cofrestriad YubiKey sydd wedi'i ddwyn"]
    B -->|"Syrffio Ysgwydd / Rhywun Wedi Ffilmio Eich Sgrin neu'ch Bysellfwrdd"| F["Clowch y sgrin ar unwaith (Cmd+Ctrl+Q/Win+L) -> Symudwch i'r ardal breifat -> Cylchdroi'r cyfrinair/PIN penodol a deipiwyd + unrhyw allweddi API sydd i'w gweld ar y sgrin"]
    C --> G["Dad-awdurdodi gliniadur wedi'i ddwyn y tu mewn i 1Password / Bitwarden Web Vault -> Terfynu holl sesiynau gwe Google / Microsoft / Okta / Slack / GitHub"]
    E --> G
    G --> H{"A oedd gan y gliniadur allweddi datblygwr lleol (home .ssh, .aws, .gnupg, Git PATs, Docker/K8s tokens)?"}
    H -->|"OES: Gliniadur Peiriannydd / Gweinyddol / Sylfaenydd"| I["Dileu allweddi cyhoeddus .ssh o weinyddion GitHub/GitLab a chynhyrchu (`authorized_keys`) -> Analluogi allweddi IAM AWS yn y Consol -> Diddymu allwedd GPG"]
    H -->|"RHIF: Defnyddiwr Busnes / Porwr Safonol"| J["Gwirio bod cysoni porwr (`Chrome/Edge/iCloud Keychain`) wedi'i allgofnodi o bell -> Ffeilio Adroddiad yr Heddlu lleol a chais cadw TCC Caffi"]
    I --> J

Rhan 1: Y "Kill Chain" 5-munud ar gyfer gliniadur heb ei ddwyn wedi'i ddatgloi (gorchmynion Platfform-wrth-lwyfan)¶

Pan fydd gliniadur yn cael ei gipio tra'n ddatgloi, peidiwch ag aros nes i chi gerdded adref neu brynu cyfrifiadur newydd i ddechrau dirymu mynediad. Gellir cyflawni pob un o'r camau cyfyngu critigol isod ** yn uniongyrchol o'ch ffôn clyfar iPhone neu Android wrth sefyll y tu mewn i'r siop goffi**.

Cam 1: Gorfodi cloi'r system weithredu o bell (0 to 60 seconds)¶

1. ** Apple MacBook (macOS):**
   • Agorwch yr ap Find My ar eich iPhone (neu mewngofnodwch icloud.com/find ar unrhyw borwr ffôn, sy'n osgoi 2FA fel y gallwch ei ddefnyddio hyd yn oed os cafodd eich ffôn ei ddwyn hefyd).
   • Tap Dyfeisiau -> [Eich MacBook] -> Mark As Lost -> Activate.
   • Beth petai'r lleidr yn diffodd Wi-Fi ar unwaith neu'n cau'r caead? Mae'r Mark As Lost neu Erase This Device ciwiau gorchymyn ar weinyddion APNs Apple ac yn tanio'r hollt-eiliad mae'r MacBook nesaf yn cyffwrdd ag unrhyw rwydwaith Wi-Fi (neu drwy'r rhwydwaith Find My). Mae cau caead MacBook hefyd yn cloi'r sgrin yn awtomatig os yw Angen cyfrinair yn syth ar ôl i gwsg neu arbedwr sgrin ddechrau wedi'i alluogi.
2. Gliniadur Windows 10 / Windows 11:
   • Ar eich porwr ffôn, agorwch account.microsoft.com/devices, dewiswch eich gliniadur, a thapiwch Dod o hyd i'm dyfais -> Cloi.
   • Os yw'n liniadur Windows corfforaethol a reolir gan Microsoft Intune, mewngofnodwch i'r Intune Company Portal (portal.manage.microsoft.com) ar eich ffôn -> dewiswch eich gliniadur -> tapiwch Camau Gweithredu -> Clo o Bell neu Ailosod Cod Pas / Sychwch.

Cam 2: Lladd pob sesiwn Arwyddo Sengl cwmwl (SSO) a porwr (1 to 3 minutes)¶

Hyd yn oed os yw'r lleidr yn analluogi Wi-Fi ar y gliniadur i bori'ch gyriant caled lleol all-lein, yn y pen draw bydd yn cysylltu'r gliniadur â man cychwyn cellog neu'n copïo eich porwr Cookies a Local Storage Ffeiliau SQLite ar beiriant arall i herwgipio eich sesiynau gwe wedi mewngofnodi. ** Annilysu'r tocynnau sesiwn hynny ar ochr y gweinydd ar hyn o bryd o'ch ffôn:**

Rhan 2: Beth os cafodd eich YubiKey neu Allwedd Ddiogelwch Caledwedd ei ddwyn?¶

Mae llawer o weithwyr o bell yn gadael proffil isel YubiKey 5C Nano wedi'i blygio'n barhaol i borthladd USB-C ochr eu gliniadur, neu'n cario YubiKey 5 NFC ar linyn llinynnol sy'n cael ei gipio gyda'u bag gliniadur. Mae panic yn aml yn gosod i mewn: "A all y lleidr ddefnyddio fy YubiKey i fewngofnodi i'm holl gyfrifon? A sut mae mynd i mewn i'm cyfrifon heb fy YubiKey?"

1. Deall beth NA ALL lleidr ei wneud â'ch YubiKey sydd wedi'i ddwyn¶

Allwedd diogelwch caledwedd modern (YubiKey 5 Series, Google Titan, Token2, Nitrokey) yn cefnogi pedwar protocol dilysu gwahanol, pob un â phroffil risg gwahanol pan gaiff ei ddwyn yn gorfforol:

1. Cymwysterau Darganfod FIDO2 (Passkeys / Mewngofnodi Heb Gyfrinair):
   • ** Wedi'i warchod gan eich PIN FIDO2 (4 to 63 alphanumeric characters).** Os bydd lleidr yn plygio'ch YubiKey sydd wedi'i ddwyn i mewn i'w gyfrifiadur ei hun ac yn ceisio defnyddio Paskey FIDO2 heb gyfrinair, mae angen eich PIN FIDO2 ar y sglodyn caledwedd YubiKey. Ar ôl 8 dyfaliad PIN anghywir yn olynol, mae rhaglennig FIDO2 ar yr YubiKey ** yn cloi a hunan-friciau yn barhaol (Factory Reset Required)**, gan ddileu pob tystlythyr.
2. FIDO U2F / Ail-Ffactor WebAuthn (Username + Password + Touch YubiKey):
   • DIM ANGEN PIN GAN ddiofyn ar y rhan fwyaf o wefannau. Os yw’r lleidr dim ond wedi dwyn eich YubiKey o boced eich cot (ac nad oes ** ganddo’ch gliniadur na’ch cyfrineiriau), mae’r YubiKey yn ddiwerth iddynt gan nad yw allwedd U2F yn datgelu i ba wefannau y mae wedi cofrestru.
   • PERYGLON ALLWEDDOL OS WEDI EI DDWR YN PLYGU I'CH Gliniadur HEB EI GLOI: Os bydd y lleidr yn dwyn eich gliniadur heb ei gloi GYDA'r YubiKey wedi'i blygio i'r ochr, mae rheolwr awtolenwi neu gyfrinair eich porwr eisoes yn cyflenwi'r enw defnyddiwr a chyfrinair, a does ond rhaid i'r lleidr gyffwrdd â'i fys at y botwm aur metel ar yr YubiKey i'ch cyfrif banc neu gyfnewidfa 2WS i basio'ch cyfrif banc, A2WS.
3. ** YubiKey OpenPGP (gpg Cerdyn call) a PIV (X.509 Tystysgrif) Applets:**
   • Wedi'i ddiogelu gan galedwedd PIN Defnyddiwr (diofyn 123456 os na wnaethoch chi ei newid erioed) a PIN Gweinyddol (rhagosodedig 12345678) y clo hwnnw ar ôl 3 ymgais anghywir. (Os gadawsoch y PIN OpenPGP yn ddiofyn y ffatri 123456, tybiwch fod allwedd PGP ar y YubiKey yn cael ei beryglu a'i ddiddymu ar unwaith.)
4. ** Cyfrinair Statig YubiKey / Yubico OTP (hir 44-cymeriad ccccc... llinyn yn cael ei ollwng wrth ei gyffwrdd):**
   • Os gwnaethoch chi ffurfweddu ** Slot 1 neu Slot 2** o'ch YubiKey i deipio cyfrinair statig neu Yubico OTP pryd bynnag y cyffyrddir â'r pad aur am 1 i 3 eiliad, gall unrhyw un sy'n dal yr allwedd agor Notepad, cyffwrdd â'r allwedd, a darllen y llinyn statig hwnnw.

2. Protocol cam wrth gam i ddadgofrestru YubiKey sydd wedi'i ddwyn mewn 5 munud¶

1. Gafaelwch yn eich Allwedd Ddiogelwch Caledwedd Wrth Gefn (neu defnyddiwch eich iPhone/Android Passkey / Ap Authenticator / Codau Wrth Gefn):
   • Yr arfer gorau (wedi'i orfodi gan NIST SP 800-63B) yw cofrestru o leiaf dwy allwedd diogelwch corfforol (un ar eich cylch allweddi/gliniadur, un wedi'i gloi mewn sêff neu fagiau teithio) ynghyd â dyfais Passkey ar eich ffôn clyfar.
2. Mewngofnodwch i'ch cyfrifon blaenoriaeth uchel a dileu DIM OND yr YubiKey sydd wedi'i ddwyn wrth ei Ffugenw:
   • Google / Gmail (myaccount.google.com/signinoptions/two-step-verification): Tapiwch Passkeys ac allweddi diogelwch -> dewch o hyd i'r allwedd sydd wedi'i dwyn -> tapiwch yr eicon Trash Can i'w dynnu.
   • ** Microsoft / ID Entra (mysignins.microsoft.com/security-info):** Dewch o hyd i'r Allwedd Ddiogelwch wedi'i ddwyn -> tapiwch Dileu.
   • ** ID afal (Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys):** Tapiwch yr allwedd sydd wedi'i dwyn -> Dileu Allwedd.
   • ** GitHub (github.com/settings/security):** O dan Passkeys a Dulliau dau ffactor -> Allweddi diogelwch, cliciwch Dileu wrth ymyl yr allwedd sydd wedi'i dwyn.
   • ** AWS Root / IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication):** Dewiswch yr allwedd ddiogelwch FIDO sydd wedi'i dwyn a chliciwch Dileu.
   • ** 1Password / Bitwarden / Cloudflare / Coinbase / Kraken:** Agorwch osodiadau 2FA pob gwasanaeth a dileu'r cofrestriad tocyn caledwedd sydd wedi'i ddwyn.

Rhan 3: Datblygwr, DevOps, a cylchdro allweddi SSH/GPG (The -/.ssh a -/.aws argyfwng)¶

Os ydych chi'n beiriannydd meddalwedd, yn weinyddwr DevOps/SRE, yn wyddonydd data, neu'n sylfaenydd cychwyn y cafodd eich gliniadur heb ei gloi ei ddwyn, dim ond hanner y frwydr yw dirymu cwcis porwr. Mae gan leidr sy'n gollwng eich cyfeiriadur cartref fynediad at bob allwedd cryptograffig hirhoedlog a thocyn CLI sydd wedi'i storio fel testun plaen ar eich SSD.

Gweithredwch y Purge Credential Datblygwr 5-Cam hwn o ffôn wrth gefn neu liniadur cyd-chwaraewr o fewn y 15 munud cyntaf:

1. ** Allweddi SSH (-/.ssh/id_ed25519 / -/.ssh/id_rsa):** Hyd yn oed os yw cyfrinair wedi'i ddiogelu, tybiwch unrhyw fysell SSH wedi'i llwytho i mewn ssh-agent mewn RAM ar liniadur heb ei gloi yn cael ei beryglu. Ewch i github.com/settings/keys a gitlab.com/-/user_settings/ssh_keys a dileu allwedd gyhoeddus SSH y gliniadur ar unwaith, a chael cyd-chwaraewr i dynnu'ch allwedd gyhoeddus oddi arno -/.ssh/authorized_keys ar yr holl weinyddion Linux cynhyrchu a gwesteiwyr bastion.
2. ** Manylion CLI Cwmwl (-/.aws/credentials, -/.config/gcloud, -/.azure):** Agorwch y ** Consol IAM AWS -> Defnyddwyr -> [Chi] -> Manylion diogelwch** a chliciwch ** Analluogi / Dileu ** ar bob Allwedd Mynediad (AKIA...). Diddymu Google Cloud gcloud auth Tocynnau adnewyddu OAuth trwy dudalen Cysylltiadau Trydydd Parti eich Cyfrif Google (Google Cloud SDK).
3. ** Tocynnau Mynediad Personol GitHub, GitLab, npm, PyPI, a Docker:** Ewch i github.com/settings/tokens a chliciwch Dirymu popeth ar y PATs Gain Fain a'r Clasurol ghp_... tocynnau. Dirymu -/.npmrc tocynnau (npmjs.com) a -/.pypirc tocynnau.
4. ** Kubernetes (-/.kube/config) & Terraform (-/.terraform.d):** Cylchdroi tystysgrifau cleient Kubeconfig statig neu docynnau OIDC a dirymu tocynnau Terraform Cloud API (app.terraform.io).
5. ** Allweddi Arwyddo GPG / PGP (-/.gnupg):** Cyhoeddwch eich Tystysgrif Dirymu GPG a gynhyrchwyd ymlaen llaw (gpg --import revoke.asc a gpg --keyserver keys.openpgp.org --send-keys [KeyID]) a dileu'r allwedd GPG o GitHub.

Rhan 4: Ymateb i "Syrffio Ysgwyddau" (Fe wnaeth rhywun ffilmio neu wylio'ch sgrin mewn caffi / hediad)¶

Beth os nad oedd neb yn dwyn eich gliniadur corfforol, ond wrth weithio wrth giât maes awyr, ar awyren, neu mewn caffi, rydych chi'n dal y person sy'n eistedd y tu ôl i chi neu yn y sedd gyfagos ** yn ffilmio'ch sgrin neu'ch bysellfwrdd gyda chamera eu ffôn clyfar** (neu'n syllu'n uniongyrchol ar agoriad .env ffeil, anogwr cyfrinair, neu ddec sleidiau cyfrinachol)?

1. ** Clowch eich sgrin ar unwaith gydag un trawiad bysell atgyrch:**
   • macOS: Pwyswch Cmd + Ctrl + Q (yn cloi'r sgrin ar unwaith heb gau apiau).
   • Windows: Pwyswch Win + L.
   • Linux: PwyswchSuper + L neu Ctrl + Alt + L.
2. Peidiwch â dechrau newid corfforol: Paciwch eich gliniadur yn dawel, symudwch i sedd breifat gyda'ch cefn yn erbyn wal solet, ac adolygwch yr hyn a oedd yn weladwy ar eich sgrin neu wedi'i deipio ar eich bysellfwrdd yn ystod y 10 munud blaenorol.
3. ** Cylchdroi pob cyfrinach a fflachiodd ar y sgrin:**
   • Os gwnaethoch chi deipio cyfrinair mewngofnodi eich gliniadur neu'ch Prif Gyfrinair rheolwr cyfrinair tra bod rhywun yn gallu gweld eich bysedd, newidiwch y cyfrinair hwnnw ar unwaith o leoliad preifat.
   • Os yw ffenestr derfynell, .env ffeil, pennawd Postman, neu consol cwmwl yn weladwy ar y sgrin, rhagdybio unrhyw cydraniad uchel 4K camera ffôn clyfar o fewn 3 metr (10 troedfedd) dal llun creision, chwyddadwy o'ch allweddi API, a chylchdroi'r allweddi hynny ar unwaith (gweler gollyngiad rhannu sgrin Zoom neu Teams damweiniol).

Y Rhestr Wirio Caledu Gliniadur 6 Pwynt "Caffi a Maes Awyr" (Sefydlu Heddiw)¶

Ffurfweddwch y chwe gosodiad caledwedd ac OS hyn ar hyn o bryd fel bod hyd yn oed os bydd lleidr yn cipio'ch gliniadur agored oddi ar fwrdd yfory, mae'r gliniadur yn cloi ei hun cyn i'r lleidr gyrraedd drws y siop goffi:

• 1. Galluogi Cloi Awtomatig Agosrwydd Bluetooth (Dynamic Lock ar Windows / Near Lock neu Apple Watch Auto-Lock ar Mac):
  • Windows 11: Pârwch eich ffôn iPhone neu Android â'ch gliniadur trwy Bluetooth, yna ewch i Gosodiadau -> Cyfrifon -> Opsiynau mewngofnodi -> Clo deinamig a gwiriwch ** "Caniatáu i Windows gloi'ch dyfais yn awtomatig pan fyddwch i ffwrdd"**. Cyn gynted ag y bydd lleidr yn rhedeg 10 metr (33 troedfedd) i ffwrdd o'r bwrdd gyda'ch gliniadur (neu os byddwch chi'n diffodd Bluetooth ar eich ffôn yn eich poced), mae Windows yn cloi'r sgrin yn awtomatig.
• 2. Gosodwch "Gornel Poeth" ac Amserydd Clo Sgrin Segur Batri 60-Eiliad:
  • Ar macOS (Gosodiadau System -> Sgrin Clo) a Windows (Gosodiadau -> System -> Pŵer a batri -> Sgrin a chysgu), gosodwch ** Trowch yr arddangosfa i ffwrdd / Angen cyfrinair ar y batri** i 1 neu 2 funud wrth weithio'n gyhoeddus.
• 3. Ffurfweddwch 1 Cyfrinair / Bitwarden i gloi ar unwaith Pan fydd y System yn Cloi neu Ar ôl 1 Munud Segur:
  • Yn 1Password -> Settings -> Security, gosodwch Mae clo ar ôl cyfrifiadur yn segur ar ei gyfer 1 minute, gwiriwch Cloi ar gwsg, a galluogwch Touch ID / Windows Hello fel na fyddwch byth yn teipio'ch Prif Gyfrinair gyda thrawiadau bysell gweladwy yn gyhoeddus.
• 4. Angen Cyffwrdd Caledwedd A Chyfrinymadrodd ar gyfer Pawb ssh a git Gweithrediad (1Password SSH Agent neu FIDO2 ed25519-sk Allweddi):
  • Yn hytrach na gadael heb ei amgryptio -/.ssh/id_ed25519 ffeiliau ar eich gyriant caled, cadwch eich allweddi SSH y tu mewn i'r 1Password SSH Asiant (sy'n gofyn am gymeradwyaeth ID Cyffwrdd biometrig ar bob un git push neu ssh cysylltiad) NEU cynhyrchu caledwedd-rwymo ssh-keygen -t ed25519-sk -O verify-required allweddi na ellir eu copïo oddi ar eich YubiKey ac sydd angen eich PIN FIDO2 ar bob defnydd.
• 5. Atodwch Magnetig bob amser 60-Degree Hidlydd Sgrin Preifatrwydd Micro-Louver (3M / Kensington) yn Gyhoeddus:
  • Mae sgrin breifatrwydd magnetig yn tywyllu'ch sgrin i ddu solet i unrhyw un sy'n gwylio o ongl fwy na 30 gradd oddi ar y ganolfan, gan ddal syrffwyr ysgwydd yn sedd yr awyren neu'r caffi nesaf.
• 6. Peidiwch byth â Gadael Gliniadur Heb oruchwyliaeth am "Dim ond 30 eiliad" i Gafael mewn Coffi neu Ddefnyddio'r Ystafell Wedd:
  • Drosodd 70 percent Mae achosion o ladradau o gaffi a lolfa maes awyr yn digwydd pan fydd gweithiwr yn gadael ei liniadur ar y bwrdd am 45 eiliad i godi latte wrth y cownter neu’n gofyn i ddieithryn "Allwch chi wylio fy mhethau?" Paciwch y gliniadur yn eich bag bob amser a'i gario gyda chi, neu dolenwch Llo Cebl Dur Kensington NanoSaver o amgylch ffrâm bwrdd wedi'i folltio.

Rhifau brys rhanbarthol a phrotocolau asiantaethau¶

Ar ôl i chi gloi’r gliniadur sydd wedi’i ddwyn a dirymu sesiynau cwmwl gweithredol (y 5 munud cyntaf), rhowch wybod i awdurdodau lleol am y lladrad corfforol a chadwch luniau teledu cylch cyfyng caffi/maes awyr cyn iddo gael ei drosysgrifo (mae’r rhan fwyaf o gaffis yn trosysgrifo teledu cylch cyfyng bob 24 i 72 awr):

Unol Daleithiau a Chanada¶

• Anfoniad Argyfwng yr Heddlu (Lladrad / Amheuaeth Weithredol yn y Golwg): Ffoniwch 911. (Os ydych y tu mewn i derfynell maes awyr, cysylltwch â Heddlu Maes Awyr / Heddlu Awdurdod Porthladd ar unwaith wrth y podiwm gât agosaf fel y gall swyddogion ddal y lleidr cyn gadael y swyddogion diogelwch neu fynd ar drên).
• Adroddiad Di-argyfwng yr Heddlu (Angenrheidiol ar gyfer Yswiriant Corfforaethol a Chynnyrch Cerdyn Credyd): Ffoniwch 311 neu linell difrys heddlu'r ddinas leol i gael Rhif Adroddiad Digwyddiad yr Heddlu.
• ** Adrodd Seiber Ffederal / Dwyn Corfforaethol:** Os yw dyfais gorfforaethol sydd wedi'i datgloi wedi'i dwyn yn arwain at ymyrraeth neu gribddeiliaeth rhwydwaith heb awdurdod, adroddwch i Canolfan Cwynion Troseddau Rhyngrwyd yr FBI (ic3.gov) a CISA (cisa.gov/report) yn yr UD, neu Canolfan Seiberddiogelwch Canada (cyber.gc.ca) yng Nghanada.

Deyrnas Unedig¶

• Anfoniad Argyfwng yr Heddlu (Lladrad / Lleidr Dal yn Bresennol): Ffoniwch 999.
• Adroddiad Heddlu Di-argyfwng ac Awdurdodaeth Rheilffordd/Maes Awyr:
  • Mewn caffis neu leoliadau stryd: Ffoniwch 101 (neu ffeiliwch ar-lein gyda’r heddlu lleol) i gael Rhif Cyfeirnod Trosedd (CRN) ar unwaith.
  • Ar drenau neu y tu mewn i orsafoedd trên/Tiwb: Testun Heddlu Trafnidiaeth Prydain (BTP) ar 61016 neu ffoniwch 0800 40 50 40.
• Asesiad Torri Data (UK GDPR): Os cafodd y gliniadur ei gipio wrth ddatgloi a’i fod yn cynnwys data personol cleientiaid neu weithwyr heb ei amgryptio, rhowch wybod i’ch Swyddog Diogelu Data (DPO) asesu ar unwaith a yw adroddiad torri amodau ICO y DU 72 awr (ico.org.uk) yn ofynnol.

Undeb Ewropeaidd¶

• Rhif Argyfwng Pan-Ewropeaidd: Ffoniwch 112 am gymorth ar unwaith gan yr heddlu ar draws holl aelod-wladwriaethau’r UE.
• Adroddiad yr Heddlu (Procès-Verbal / Strafanzeige / Denuncia): Ymwelwch â'r orsaf heddlu leol agosaf (Commissariat de Police, Polizeiwache, Comisaría de Policía, Questura) i gael adroddiad lladrad ysgrifenedig wedi'i stampio, a rhowch wybod i DPO eich cwmni ar unwaith o dan Erthygl 33 GDPR os cafodd y ddyfais ei datgloi ar adeg y lladrad.

Awstralia a Seland Newydd¶

• ** Anfon Argyfwng:** Ffoniwch 000 yn Awstralia neu 111 yn Seland Newydd.
• Adroddiad yr Heddlu Di-argyfwng: Ffoniwch 131 444 (Llinell Gymorth yr Heddlu yn Awstralia) neu 105 (Heddlu Seland Newydd nad yw'n Argyfwng) i gael Rhif Digwyddiad Heddlu, a rhoi gwybod am gyfaddawd corfforaethol trwy cyber.gov.au (ACSC) neu CERT Seland Newydd (cert.govt.nz).

India ac Asia-Môr Tawel¶

• India: Ffoniwch 112 (Argyfwng) neu 100 (Heddlu), a ffeiliwch **e-FIR / Adroddiad Erthygl Coll ** ar unwaith trwy borth dinasyddion heddlu'r wladwriaeth fel bod gennych ddogfennaeth swyddogol ar gyfer dileu asedau MDM corfforaethol a chydymffurfiaeth CERT-In.
• Singapore a Japan: Yn Singapôr, ffoniwch 999 (Argyfwng) neu ffeiliwch adroddiad ar-lein yn Porth e-Wasanaethau Heddlu Singapore (police.gov.sg). Yn Japan, riportiwch ar unwaith i'r Koban (Blwch Heddlu) agosaf neu'r post Heddlu Maes Awyr i dderbyn Tounan-Todoke (Rhif Adroddiad Lladrad).

Cwestiynau cyffredin¶

A ddylwn i glicio "Dileu'r Dyfais Hwn" (Sychwch o Bell) neu "Mark As Lost" (Clo o Bell) yn gyntaf pan fydd fy laptop MacBook neu Windows yn cael ei ddwyn heb ei gloi?¶

Sbardunwch **Marc As Lost / Clo Pell YN GYNTAF** bob amser, ac arhoswch nes bod y clo wedi'i gadarnhau (neu gydlynwch â'ch tîm TG corfforaethol) cyn cychwyn Dileu / Sychwch llawn, am ddau reswm pwysig. Yn gyntaf, a `Remote Lock` Mae'r pecyn yn fach iawn ac yn gweithredu ar unwaith y microsecond y mae'n cyrraedd y gliniadur dros Wi-Fi, gan derfynu'r sesiwn bwrdd gwaith gweithredol a chloi'r sgrin y tu ôl i amgryptio FileVault neu BitLocker wrth gadw gallu'r gliniadur i ddangos ei leoliad GPS / Wi-Fi yn ôl i Find My. Yn ail, os ydych chi'n clicio ar "Dileu o'r Cyfrif" (sy'n wahanol i Dileu), rydych chi'n diffodd y Lock Activation yn ddamweiniol, gan ganiatáu i'r lleidr sychu ac ailwerthu'r MacBook yn lân. Peidiwch byth â chlicio "Dileu'r Ddychymyg Hwn" o Find My.

Pe bai FileVault (Mac) neu BitLocker (Windows) wedi'i droi ymlaen ar fy ngliniadur, onid yw hynny'n amddiffyn fy ffeiliau hyd yn oed os cafodd ei ddwyn tra bod y sgrin ar agor?¶

Mae amgryptio disg llawn (FileVault 2 a BitLocker) yn amddiffyn data ** wrth orffwys** (pan fydd y gliniadur wedi'i bweru i ffwrdd, yn gaeafgysgu, neu wedi'i gloi ar y sgrin cyn-gist / mewngofnodi). Fodd bynnag, tra'ch bod wedi mewngofnodi i'ch bwrdd gwaith gyda'r sgrin wedi'i datgloi, mae'r allwedd meistr amgryptio yn eistedd mewn system RAM anweddol fel y gall eich system weithredu a'ch apps ddarllen ac ysgrifennu ffeiliau. Os yw lleidr yn cipio'ch gliniadur tra bod y sgrin yn effro ac yn dal i dapio'r trackpad fel nad yw'r sgrin byth yn cloi, nid yw FileVault a BitLocker yn eu hatal rhag copïo'ch ffeiliau, a dyna pam mae anfon gorchymyn cloi o bell ar unwaith o'ch ffôn a dirymu sesiynau cwmwl yn y 60 eiliad cyntaf mor hanfodol.

Beth pe bai fy iPhone A fy MacBook heb ei gloi yn cael ei gipio gyda'i gilydd wrth yr un bwrdd: sut ydw i'n eu cloi heb fy ffôn ar gyfer 2FA?¶

Adeiladodd Apple ffordd osgoi argyfwng benodol ar gyfer yr union senario hwn: benthyg ffôn gweithiwr caffi, ffôn dieithryn, neu liniadur cydweithiwr ac agor **`icloud.com/find`** yn uniongyrchol (sylwi ar y `/find` ar ddiwedd yr URL). Yn wahanol i'r prif `icloud.com` porth,**`icloud.com/find` yn caniatáu i chi fewngofnodi gyda DIM OND eich e-bost Apple ID a'ch cyfrinair HEB fod angen cod Dilysu Dau-Ffactor 6 digid**. Unwaith y tu mewn `icloud.com/find`, gallwch chi roi eich iPhone a'ch MacBook ar unwaith i **Modd Coll **, gan gloi'r ddwy sgrin ac analluogi Apple Pay mewn llai na 30 eiliad.

A all lleidr dynnu fy allweddi preifat SSH neu gyfrineiriau allan o YubiKey 5C Nano sydd wedi'i ddwyn?¶

Mae YubiKey dilys yn storio'r holl allweddi preifat FIDO2, U2F, PIV, ac OpenPGP y tu mewn i sglodyn caledwedd Cryptograffig Secure Element sy'n gwrthsefyll ymyrraeth (`EAL6+` ardystiedig). Mae'n amhosibl yn gorfforol ac yn fathemategol i gopïo, allforio, neu ddarllen allwedd breifat * allan* o YubiKey ar gyfrifiadur. Yr unig risg gyda YubiKey wedi'i ddwyn yw y gall rhywun sydd â'r allwedd yn gorfforol ei blygio i mewn a chyffwrdd â'r botwm aur i'w *ddefnyddio* nes i chi fewngofnodi i'ch cyfrifon (GitHub, Google, AWS, SSH `authorized_keys`) a dileu cofrestriad cyhoeddus YubiKey hwnnw.

A yw'n ddiogel gadael fy ngliniadur ar fwrdd siop goffi am 60 eiliad i ddefnyddio'r ystafell orffwys os byddaf yn cloi'r sgrin (Cmd+Ctrl+Q / Win+L) yn gyntaf?¶

Na. Wrth gloi eich sgrin gyda `Cmd + Ctrl + Q` neu `Win + L` yn amddiffyn eich data digidol y tu ôl i FileVault neu BitLocker, nid yw'n gwneud dim i atal lleidr rhag cerdded allan y drws gyda'ch `$2,500` gliniadur corfforol mewn 4 eiliad. Mae gadael gliniadur wedi'i gloi heb oruchwyliaeth ar fwrdd hefyd yn ei wneud yn agored i ymyrryd â chaledwedd corfforol (fel ymosodwr maleisus yn gosod Cebl O.MG, USB Rubber Ducky, neu logiwr bysellbad caledwedd yn eich porthladd USB-C tra byddwch yn yr ystafell orffwys). Sleidwch eich gliniadur i'ch sach gefn bob amser a mynd ag ef i'r ystafell orffwys gyda chi bob tro.

Ffynonellau a chanllawiau swyddogol¶

• Sefydliad Cenedlaethol Safonau a Thechnoleg (NIST, Unol Daleithiau): NIST SP 800-46 Rev. 2 Canllaw i Deleweithio Menter, Mynediad o Bell, a Dod â'ch Dyfais Eich Hun Ddiogelwch (BYOD) a Canllawiau Hunaniaeth Ddigidol NIST SP 800-63B (Canllawiau Dilyswr Caledwedd Aml-Ffactor Colled a Diddymu).
• Asiantaeth Seiberddiogelwch a Seilwaith (CISA, Unol Daleithiau) a Chanolfan Seiberddiogelwch Genedlaethol y DU (NCSC): Diogelu Dyfeisiau Wrth Symud (Clo Sesiwn Corfforol, Clo Agosrwydd Bluetooth, Lliniaru Ysgwydd-Syrffio, a Phrotocolau Sychu MDM o Bell).
• Yubico AB: Beth i'w Wneud Os Collwch Eich YubiKey (support.yubico.com) (Cloi Allan PIN FIDO2 8-Ymgais, Model Risg Ail-Ffactor U2F, Clo PIN 3-Ymgais OpenPGP, a Phensaernïaeth Allwedd Wrth Gefn).
• Apple Inc. a Microsoft Corporation: Canllaw Diogelwch Platfform Apple (Amgryptio Cyfrol FileVault, T2 / Apple Silicon Secure Enclave, a icloud.com/find Pensaernïaeth Modd Coll No-2FA) a Dogfennau Technegol Diogelu DMA a Cloi Deinamig Microsoft Windows 11 BitLocker.
• Bwrdd Diogelu Data Ewropeaidd (EDPB): Canllawiau 9/2022 ar Hysbysiad Torri Data Personol o dan GDPR (Gwahaniaethu rhwng Dwyn Dyfais wedi'i Gloi wedi'i Amgryptio-wrth-Orffwys yn erbyn Dwyn Dyfais Sesiwn Actif heb ei chloi).

Canllawiau cysylltiedig¶

• Gliniadur gwaith wedi'i ddwyn neu wedi torri wrth deithio: clo MDM ac adferiad amser segur sero
• Gostyngiad cronfa ddata cynhyrchu damweiniol, gollyngiad cyfrinachol git, a brysbennu digwyddiadau
• Diogelwch gwaith o bell brys a phreifatrwydd data
• Gweithio o bell o westy neu ofod dros dro
• Goroesi lladrata a mygio
• Rhifau brys