Kannettava tietokone tai laitteiston suoja-avain varastettu kahvilassa tai lentokentän loungessa: välitön istunnon tappaminen¶

Kannettavan tietokoneesi napsauttaminen suoraan kahvilan pöydältä, työpöydältä tai lentokentän lounge-istuimelta, kun näyttö on herännyt ja lukitsematon, tai huomaat varkaan kävelevän pois kannettavan tietokoneen laukun kanssa samalla kun FIDO2-laitteistoturva-avaimesi (YubiKey) oli edelleen kytkettynä USB-C-porttiin. Tämä on pahin tapaus fyysisen ja digitaalisen turvallisuuden hätätilanteessa, jonka etätyöntekijä tai ohjelmistosuunnittelija voi kohdata. Toisin kuin hotellihuoneesta varastettu sammutettu kannettava tietokone (jossa koko levyn salaus, kuten FileVault tai BitLocker, pitää aseman lukittuna), lukitsematon lämmin kannettava antaa varkaalle avatun RAM-muistin, lukitsemattoman salasanan hallinnan (1Password / Bitwarden), live-selaimen todennusevästeet, aktiivinen AWS / GCP / Azure CLI-tunnistetiedot ja salaamattomat -/.ssh yksityiset avaimet hopealautasella.

Jos ryöstöyn liittyi fyysinen pahoinpitely, ryöstö tai aseuhkaus, siirry välittömästi turvalliseen paikkaan ja soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Yhdistyneessä kuningaskunnassa; katso hätänumerot) ja tarkista meidän ryöstöstä ja ryöstöstä selviytyminen opas. Älä koskaan aja aseistettua tai pakenevaa kannettavan tietokoneen varasta kadulle tai ajoneuvoon. Vedä sen sijaan älypuhelimesi taskustasi ensimmäisten 60 sekunnin kuluessa ja suorita täsmällinen istunnon lopetus ja laitteiston lukitusjärjestys ristiviittauksen aikana. työkannettava varastettiin tai rikkoutui matkan aikana: MDM-lukko ja palautus ilman seisokkeja, vahingossa tapahtuva tuotantotietokannan pudotus, git-salaisuusvuoto ja tapausten erottelu, ja hätäetätyön turvallisuus ja tietosuoja.

Tee tämä nyt¶

1. ÄLÄ JAHDAT VARKAA; vedä älypuhelimesi ulos 15 sekunnissa ja käynnistä laitteiston etälukitus (Find My / Find My Device / Corporate MDM) ENNEN kuin varas laittaa kannettavan tietokoneen Faradayn laukkuun tai sammuttaa Wi-Fi-yhteyden. Kun varas nappaa avoimen kannettavan tietokoneen kahvilan pöydältä, kannettava tietokone pysyy ensimmäisenä yhteydessä kahvilan Wi-Fi-verkkoon (tai puhelimesi hotspotiin) 30 to 90 seconds kun he juoksevat alas korttelia:
   • MacBook (iPhone Find My App): Avaa Find My -> Devices -> [Your MacBook] -> Merk as Lost (Activate) ja anna 4-6-numeroinen PIN-koodi. Kun komento osuu MacBookiin Wi-Fi-yhteyden kautta, macOS lopettaa aktiivisen käyttäjäistunnon, pakottaa laiteohjelmiston/käyttöjärjestelmän lukitusnäytön ja vaatii FileVault-salauksen kirjautumistiedot.
   • Windows 11 -kannettava: Avaa puhelimen selaimessa account.microsoft.com/devices -> valitse kannettava tietokone -> napauta Etsi laitteeni -> Lukitse.
2. Jos kannettava tietokoneesi oli yhdistetty älypuhelimesi Personal Hotspotiin, ÄLÄ sammuta hotspotia ensimmäisten 60 sekunnin aikana ENNEN kuin napsautat "Merkitse kadonneeksi / etälukitus", ja katkaise se heti sen jälkeen. Jos varas on edelleen 15 metrin (50 jalan) etäisyydellä sinusta kahvilan ulkopuolella, puhelimesi aktiivinen yhteys* voi olla aktiivinen Wi-Fi-yhteys. Mark As Lost kill-komento avoimeen kannettavaan tietokoneeseen. Odota 30 sekuntia, että lukituskomento lähetetään, ja vaihda sitten Personal Hotspot OFF ja Bluetooth OFF (mikä laukaisee myös macOS/Windows Dynamic Lockin, jos laite on paritettu).
3. Soita yrityksesi IT-turvapalveluun / SOC Hotline puhelimellasi (0 to 3 minutes) käynnistää maailmanlaajuisen IDP-istunnon peruutuksen (Okta / Microsoft Entra ID / Google Workspace) JA MDM-etäpyyhintä (Jamf / Intune / Kandji). Vaikka varas pitää kannettavan tietokoneen näytön hereillä heiluttamalla ohjauslevyä ja katkaisee Wi-Fi-yhteyden, Single Sign-On (SSO) -päivitys- ja pääsytunnistesi kumoaminen pilvipalvelimella takaa, että varas yhdistää kannettavan tietokoneen mihin tahansa Internet-yhteyteen käyttääkseen Slackia, Gmailia, GitWS-, yritys- tai A-istuntoa.401 Unauthorized).
4. Jos salasananhallintasi (1Password, Bitwarden, LastPass, Dashlane, Apple Passwords) avattiin kannettavassa tietokoneessa, POISTA varastetun laitteen VALTUUTUS välittömästi puhelinsovelluksesta. Avaa 1Password tai Bitwarden matkapuhelimellasi, siirry kohtaan Hallitse tiliä / Web Vault -> Active Sessions / Authorized Devices ja napsauta Poista valtuutus / Kumoa varastetussa kannettavassa tietokoneessa, jos se on olemassa, ja käännä sitten varmuuskopion salasana.
5. Jos laitteiston suojausavain (YubiKey 5C Nano / Titan Key) jätettiin kiinni kannettavan tietokoneen USB-porttiin (tai varastettuun avainrenkaaseen), kirjaudu tiliisi puhelimestasi käyttämällä vara-avainta tai salasanaa ja POISTA kyseinen FIDO2-tunniste. Vaikka FIDO2-laitteistoavain vaatii FIDO2-PIN-koodin (4 to 63 characters) salasanattomille resident-key kirjautumiset, kun niitä käytetään toisena tekijänä (U2F / WebAuthn non-discoverable) kannettavassa tietokoneessa, johon selaimesi on jo tallentanut käyttäjätunnuksesi ja salasanasi, jokainen, joka koskettaa YubiKeyn kultaista kapasitiivista kosketinta, läpäisee 2FA:n ilman PIN-koodia.
6. Peruuta ja kierrä kaikki kotikansioosi tallennetut paikalliset kehittäjän tunnistetiedot (-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env tiedostot ja GitHub/GitLab Personal Access Tokens). Vaikka pilven SSO tapetaan, hyökkääjällä, joka pitää lukitsemattoman kannettavan tietokoneen hereillä, on raaka tiedostojärjestelmän käyttöoikeus jokaiseen salaamattomaan SSH-avaimeen ja pilven API-tunnukseen, joka on päätehistoriassasi (-/.zsh_history / -/.bash_history).

Päätöspuu: lukitsemattoman kannettavan tietokoneen sieppaus vs. laitteiston suojausavaimen varkaus vs. olkapäässä surffailu¶

Noudata tätä nopeaa triage-vuokaaviota ensimmäisten 15 minuutin aikana kahvilan, työhuoneen tai lentokentän turvavälikohtauksen jälkeen.

flowchart TD
    A["Julkisen työtilan turvahätä (kahvila, työtila, lentokentän lounge, juna)"] --> B{"Mitä oikein tapahtui?"}
    B -->|"Kannettava tietokone kaapattu lukituksen ollessa AVAIN/Avaa"| C["0-60s: Käynnistä puhelimessasi Apple Find My 'Mark as Lost' tai Microsoft 'Lock Device' -> Soita yrityksen IT SOC:lle MDM:n lukitsemista/pyyhkimistä varten + globaali SSO-istunnon lopetus"]
    B -->|"Kannettava tietokone varastettiin lukittuna / kansi suljettuna / sammutettuna"| D["FileVault / BitLocker suojaa levyä lepotilassa -> Käynnistä Find My / MDM Remote Wipe -> Kierrä SSO-salasanaa ja peruuta aktiiviset pilviistunnot"]
    B -->|"Laitteiston suojausavain (YubiKey) varastettu (yksin tai liitettynä kannettavaan tietokoneeseen)"| E["Kirjaudu puhelimestasi IdP:hen (Okta/Entra/Google), GitHubiin, AWS:ään ja Password Manageriin käyttämällä vara-avainta/salasanaa -> Poista varastettu YubiKey-rekisteröinti"]
    B -->|"Surffaa olkapäässä / joku kuvasi näyttöäsi tai näppäimistöäsi"| F["Lukitse näyttö välittömästi (Cmd+Ctrl+Q / Win+L) -> Siirrä yksityiselle alueelle -> Kierrä tiettyä salasanaa/PIN-koodia + kaikki näytöllä näkyvät API-avaimet"]
    C --> G["Poista varastetun kannettavan tietokoneen valtuutus 1Password / Bitwarden Web Vaultissa -> Lopeta kaikki Googlen / Microsoftin / Okta / Slackin / GitHub-verkkoistunnot"]
    E --> G
    G --> H{"Oliko kannettavassa tietokoneessa paikalliset kehittäjäavaimet (home .ssh, .aws, .gnupg, Git PAT, Docker/K8s-tunnukset)?"}
    H -->|"KYLLÄ: Insinööri / Järjestelmänvalvoja / Kannettavan tietokoneen perustaja"| I["Poista julkiset .ssh-avaimet GitHub/GitLab- ja tuotantopalvelimista (`authorized_keys`) -> Poista AWS IAM -avaimet käytöstä konsolissa -> Peru GPG-avain"]
    H -->|"EI: Normaali yritys- / selaimen käyttäjä"| J["Varmista, että selaimen synkronointi (`Chrome/Edge/iCloud-avainnippu`) on kirjautunut ulos etäyhteyden kautta -> Arkistoi paikallinen poliisiraportti ja Cafe CCTV -säilytyspyyntö"]
    I --> J

Osa 1: 5 minuutin "tappamisketju" lukitsemattomalle varastetulle kannettavalle tietokoneelle (alustakohtaiset komennot)¶

Kun kannettava tietokone kaapataan lukitsemattomana, älä odota, kunnes kävelet kotiin tai ostat uuden tietokoneen, jotta käyttöoikeuden peruuttaminen alkaa. Jokainen alla olevista kriittisistä eristämistoimista voidaan suorittaa suoraan iPhone- tai Android-älypuhelimellasi seistessäsi kahvilassa.

Vaihe 1: Pakota käyttöjärjestelmän etälukitus (0 to 60 seconds)¶

1. Apple MacBook (macOS):
   • Avaa Find My -sovellus iPhonessasi (tai kirjaudu sisään icloud.com/find missä tahansa puhelimen selaimessa, joka ohittaa 2FA:n, joten voit käyttää sitä, vaikka puhelimesi olisi myös varastettu).
   • Napauta Laitteet -> [MacBookisi] -> Merkitse kadonneeksi -> Aktivoi.
   • Entä jos varas katkaisi välittömästi Wi-Fi-yhteyden tai sulkee kannen? Mark As Lost tai Erase This Device komentojonoja Applen APN-palvelimille ja käynnistää sen sekunnin osan, kun MacBook seuraavaksi koskettaa mitä tahansa Wi-Fi-verkkoa (tai Find My -verkon kautta). MacBookin kannen sulkeminen myös lukitsee näytön automaattisesti, jos Vaadi salasana heti lepotilan tai näytönsäästäjän alkamisen jälkeen on käytössä.
2. Windows 10 / Windows 11 -kannettava:
   • Avaa puhelimen selaimella account.microsoft.com/devices, valitse kannettava tietokone ja napauta Etsi laitteeni -> Lukitse.
   • Jos kyseessä on yrityksen Windows-kannettava, jota hallinnoi Microsoft Intune, kirjaudu sisään Intune-yritysportaaliin (portal.manage.microsoft.com) puhelimessasi -> valitse kannettava tietokone -> napauta Toiminnot -> Etälukitus tai Palauta pääsykoodi / pyyhi.

Vaihe 2: Tapa kaikki pilven kertakirjautumiset (SSO) ja selainistunnot (1 to 3 minutes)¶

Vaikka varas poistaa Wi-Fi-yhteyden kannettavasta tietokoneesta selatakseen paikallista kiintolevyä offline-tilassa, hän lopulta yhdistää kannettavan tietokoneen matkapuhelinverkon tukiasemaan tai kopioi selaimesi Cookies ja Local Storage SQLite-tiedostot toiselle koneelle kaapataksesi sisäänkirjautuneen verkkoistunnon. Pidä mitätöi nämä istuntotunnukset palvelinpuolella juuri nyt puhelimestasi:

Osa 2: Entä jos YubiKey- tai laitteistosuojausavaimesi varastetaan?¶

Monet etätyöntekijät jättävät matalaprofiilisen YubiKey 5C Nanon pysyvästi kytkettynä kannettavan tietokoneensa USB-C-porttiin tai kantavat mukanaan YubiKey 5 NFC -kaulanauhaa, joka katkeaa kannettavan tietokoneen laukun mukana. Paniikki iskee usein: "Voiko varas käyttää YubiKeytäni kirjautuakseen kaikille tileilleni? Ja miten pääsen tileilleni ilman YubiKeytäni?"

1. Ymmärtää mitä varas VOI ja EI VOI tehdä varastetulla YubiKeylläsi¶

Nykyaikainen laitteiston suojausavain (YubiKey 5 Series, Google Titan, Token2, Nitrokey) tukee neljää erillistä todennusprotokollaa, joista jokaisella on erilainen riskiprofiili, kun ne varastetaan:

1. FIDO2:n löydettävissä olevat tunnistetiedot (Passkeys / Salasanaton kirjautuminen):
   • Suojattu FIDO2-PIN-koodillasi (4 to 63 alphanumeric characters). Jos varas kytkee varastetun YubiKeysi omaan tietokoneeseensa ja yrittää käyttää salasanatonta FIDO2-salasanaa, YubiKey-laitteistosiru vaatii FIDO2-PIN-koodisi. 8 peräkkäisen väärän PIN-arvauksen jälkeen YubiKeyn FIDO2-sovelma lukittuu pysyvästi ja sulkeutuu itsestään (Factory Reset Required), poistaa kaikki käyttäjätiedot.
2. FIDO U2F / WebAuthn Second-Factor (Username + Password + Touch YubiKey):
   • PIN-koodia EI vaadita OLETUKSENA useimmilla verkkosivustoilla. Jos varas ainoastaan varasti YubiKeyn takkitaskustasi (eikä hänellä ei ole kannettavaasi tai salasanojasi), YubiKey on hyödytön heille, koska U2F-avain ei paljasta, mille verkkosivustoille se on rekisteröitynyt.
   • KRIITTINEN VAARA, JOS VARASTETTAAN KYTKETTÄÄN LUKITTAMATON KANNETTAVAAN KONEEN: Jos varas varasti lukitsemattoman kannettavan tietokoneen, KUN YubiKey on kytketty sivuun, selaimen automaattinen täyttö tai salasananhallinta antaa jo käyttäjätunnuksen ja salasanan, ja varkaan on vain siirrettävä kultainen painike YubiKeyyn**. pankkiisi, AWS-juuritiliisi tai kryptovaihtoon.
3. YubiKey OpenPGP (gpg SmartCard) ja PIV (X.509 Sertifikaatti) Sovelmat:
   • Suojattu laitteistolla Käyttäjän PIN-koodi (oletus 123456 jos et ole koskaan vaihtanut sitä) ja Järjestelmänvalvojan PIN-koodi (oletus 12345678) joka lukittuu 3 väärän yrityksen jälkeen. (Jos jätit OpenPGP-PIN-koodin tehdasasetuksiin 123456, oletetaan, että YubiKeyn PGP-avain on vaarantunut ja peruuta se välittömästi.)
4. YubiKeyn staattinen salasana / Yubico OTP (pitkä 44 merkkiä ccccc... merkkijono säteilee kosketettaessa):
   • Jos määritit YubiKeyn paikan 1 tai paikan 2 kirjoittamaan staattisen salasanan tai Yubico OTP:n aina, kun kultaista alustaa kosketetaan 1-3 sekuntia, kuka tahansa näppäimen pitävä voi avata Notepadin, koskettaa näppäintä ja lukea staattisen merkkijonon.

2. Vaiheittainen protokolla varastetun YubiKeyn rekisteröinnin poistamiseksi 5 minuutissa¶

1. Tartu varmuuskopiolaitteiston suojausavain (tai käytä iPhone-/Android-salasanaa / Authenticator-sovellusta / varakoodeja):
   • Paras käytäntö (NIST SP 800-63B:n valtuuttama) on aina rekisteröidä vähintään kaksi fyysistä turva-avainta (yksi avainrenkaaseen/kannettavaan tietokoneeseen, toinen kassakaappiin tai matkatavaraan) sekä laitteen salasana älypuhelimeesi.
2. Kirjaudu tärkeimpiin tileihisi ja poista VAIN varastettu YubiKey sen lempinimellä:
   • Google / Gmail (myaccount.google.com/signinoptions/two-step-verification): Napauta Salasanat ja suojausavaimet -> etsi varastettu avain -> poista se napauttamalla Roskakori-kuvaketta.
   • Microsoft / Entra ID (mysignins.microsoft.com/security-info): Etsi varastettu Suojausavain -> napauta Poista.
   • Apple ID (Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys): Napauta varastettua avainta -> Poista avain.
   • GitHub (github.com/settings/security): Valitse Salasanat ja Kaksitekijämenetelmät -> Suojausavaimet -kohdassa Poista varastetun avaimen vierestä.
   • AWS-juuri / IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication): Valitse varastettu FIDO-suojausavain ja napsauta Poista.
   • 1Password / Bitwarden / Cloudflare / Coinbase / Kraken: Avaa kunkin palvelun 2FA-asetukset ja poista varastetun laitteistotunnuksen rekisteröinti.

Osa 3: Kehittäjä, DevOps ja SSH/GPG-avainten kierto ( -/.ssh ja -/.aws hätä)¶

Jos olet ohjelmistosuunnittelija, DevOps/SRE-järjestelmänvalvoja, datatieteilijä tai käynnistyksen perustaja, jonka lukitsematon kannettava tietokone varastettiin, selainevästeiden kumoaminen on vain puoli voittoa. Varas, joka jättää kotihakemistosi, pääsee käsiksi jokaiseen pitkään säilyneeseen salausavaimeen ja CLI-tunnukseen, joka on tallennettu pelkkänä tekstinä SSD-levyllesi.

Suorita tämä 5-vaiheinen kehittäjän tunnistetietojen tyhjennys varapuhelimesta tai joukkuetoverinsa kannettavasta tietokoneesta ensimmäisten 15 minuutin aikana:

1. SSH-avaimet (-/.ssh/id_ed25519 / -/.ssh/id_rsa): Vaikka salasana olisi suojattu, oletetaan, että mikä tahansa SSH-avain on ladattu ssh-agent lukitsemattoman kannettavan tietokoneen RAM-muisti on vaarantunut. Siirry osoitteeseen github.com/settings/keys ja gitlab.com/-/user_settings/ssh_keys ja poista kannettavan tietokoneen julkinen SSH-avain välittömästi ja pyydä tiimikaveria poistamaan julkinen avaimesi -/.ssh/authorized_keys kaikilla tuotanto Linux-palvelimilla ja linnakeisännillä.
2. Cloud CLI -tunnistetiedot (-/.aws/credentials, -/.config/gcloud, -/.azure): Avaa AWS IAM -konsoli -> Käyttäjät -> [Sinä] -> Suojaustunnukset ja napsauta Poista käytöstä / Poista kaikissa käyttöavaimissa (AKIA...). Peruuta Google Cloud gcloud auth OAuth-päivitystunnukset Google-tilisi Kolmannen osapuolen yhteydet -sivun kautta (Google Cloud SDK).
3. GitHub, GitLab, npm, PyPI ja Docker Personal Access Tokens: Siirry github.com/settings/tokens ja napsauta Peruuta kaikki sekä hienojakoisissa PAT:issa että Classicissa ghp_... rahakkeita. Peruuta -/.npmrc rahakkeita (npmjs.com) ja -/.pypirc rahakkeita.
4. Kubernetes (-/.kube/config) & Terraform (-/.terraform.d): Pyöritä staattisia Kubeconfig-asiakasvarmenteita tai OIDC-tunnuksia ja peruuta Terraform Cloud API -tunnukset (app.terraform.io).
5. GPG / PGP-allekirjoitusavaimet (-/.gnupg): Julkaise valmiiksi luotu GPG:n peruutussertifikaatti (gpg --import revoke.asc ja gpg --keyserver keys.openpgp.org --send-keys [KeyID]) ja poista GPG-avain GitHubista.

Osa 4: Vastaaminen "Shoulder Surfing" -sovellukseen (joku kuvasi tai katseli näyttöäsi kahvilassa/lennolla)¶

Entä jos kukaan ei varastaisi fyysistä kannettavaa tietokonettasi, mutta työskennellessäsi lentokentän portilla, lentokoneessa tai kahvilassa huomaat takanasi tai viereisellä penkillä istuvan henkilön kuvaamassa näyttöäsi tai näppäimistöäsi älypuhelimen kamerallaan (tai tuijottamassa suoraan auki .env tiedosto, salasanakehote tai luottamuksellinen diasarja)?

1. Lukitse näyttösi välittömästi yhdellä näppäinpainalluksella:
   • macOS: Paina Cmd + Ctrl + Q (lukitsee näytön välittömästi sulkematta sovelluksia).
   • Windows: Paina Win + L.
   • Linux: Paina Super + L tai Ctrl + Alt + L.
2. Älä aloita fyysistä kiistaa: Pakkaa kannettavasi rauhallisesti, siirry yksityiselle istuimelle selkä tukevaa seinää vasten ja tarkista, mitä näytölläsi näkyi tai näppäimistölläsi edellisten 10 minuutin aikana.
3. Käännä jokaista salaisuutta, joka välähti näytöllä:
   • Jos kirjoitit kannettavan tietokoneen kirjautumissalasanan tai salasananhallinnan pääsalasanan, kun joku näki sormesi, vaihda salasana välittömästi yksityisestä sijainnista.
   • Jos pääteikkuna, .env tiedosto, Postman-otsikko tai pilvikonsoli oli näkyvissä näytöllä, oletetaan mikä tahansa korkearesoluutioinen 4K älypuhelimen kamera 3 metrin (10 jalan) säteellä otti terävän, zoomattavan valokuvan API-avaimistasi ja käännä niitä välittömästi (katso vahingossa tapahtuva Zoom- tai Teams-näytönjakovuoto).

6-pisteinen "Cafe & Airport Proof" kannettavan tietokoneen kovettumisen tarkistuslista (aseta tänään)¶

Määritä nämä kuusi laitteisto- ja käyttöjärjestelmäasetusta heti, jotta vaikka varas nappaisi avoimen kannettavan tietokoneesi pöydältä huomenna, kannettava lukittuu ennen kuin varas saavuttaa kahvilan oven:

• 1. Ota Bluetooth Proximity Auto-Lock käyttöön (Dynamic Lock Windowsissa / Near Lock tai Apple Watchin automaattinen lukitus Macissa):
  • Windows 11: Yhdistä iPhone- tai Android-puhelimesi kannettavaan tietokoneeseen Bluetoothin kautta, siirry sitten kohtaan Asetukset -> Tilit -> Kirjautumisasetukset -> Dynaaminen lukitus ja valitse "Salli Windowsin lukita laitteesi automaattisesti, kun olet poissa". Heti kun varas juoksee 10 metrin (33 jalan) päähän pöydästä kannettavan tietokoneen kanssa (tai kytket Bluetoothin pois päältä taskussasi olevasta puhelimesta), Windows lukitsee näytön automaattisesti.
• 2. Aseta "Hot Corner" ja 60 sekunnin akun tyhjäkäynnin näytön lukitusajastin:
  • Aseta macOS:ssä (Järjestelmäasetukset -> Lukitusnäyttö) ja Windowsissa (Asetukset -> Järjestelmä -> Virta ja akku -> Näyttö ja lepotila) -asetukseksi Sammuta näyttö / Vaadi salasana akulle arvoksi 1 tai 2 minuuttia, kun työskentelet julkisilla paikoilla.
• 3. Määritä 1Password / Bitwarden lukittumaan välittömästi, kun järjestelmä lukittuu tai 1 minuutin joutokäynnin jälkeen:
  • Aseta kohdassa 1Salasana -> Asetukset -> Suojaus Lukitse, kun tietokone on käyttämättömänä 1 minute, valitse Lukitse lepotilaan ja ota käyttöön Touch ID / Windows Hello, jotta et koskaan kirjoita pääsalasanaasi näkyvillä näppäinpainalluksilla julkisesti.
• 4. Vaadi laitteistokosketus JA tunnuslause jokaiselle ssh ja git Operaatio (1Password SSH Agent tai FIDO2 ed25519-sk Avaimet):
  • Salaamattomana jättämisen sijaan -/.ssh/id_ed25519 tiedostot kiintolevyllesi, tallenna SSH-avaimesi 1Password SSH Agentin sisään (joka vaatii biometrisen Touch ID -hyväksynnän jokaisella git push tai ssh yhteys) TAI luo laitteistoon sidottu ssh-keygen -t ed25519-sk -O verify-required avaimet, joita ei voi kopioida YubiKeystä ja jotka vaativat FIDO2-PIN-koodin jokaisessa käytössä.
• 5. Kiinnitä aina magneetti 60-Degree Micro-Louver Privacy Screen Filter (3M / Kensington) julkisesti:
  • Magneettinen yksityisyysnäyttö tummentaa näytön tasaiseksi mustaksi kaikille, jotka katsovat yli 30 asteen kulmasta pois keskustasta, mikä sokaisee olkapääsurffaajia seuraavassa lentokoneessa tai kahvilassa.
• 6. Älä koskaan jätä kannettavaa tietokonetta valvomatta "vain 30 sekunniksi" juodaksesi kahvia tai käyttääksesi wc:tä:
  • Yli 70 percent Kahviloiden ja lentokenttien loungevarkauksista tapahtuu, kun työntekijä jättää kannettavan tietokoneensa pöydälle 45 sekunniksi poimiakseen lattea tiskiltä tai kysyy tuntemattomalta "Voitko katsoa tavaroitani?" Pakkaa kannettava tietokone aina laukkuun ja kanna sitä mukanasi tai kiinnitä Kensington NanoSaver -teräskaapelilukko pultatun pöytäkehyksen ympärille.

Alueelliset hätänumerot ja viraston protokollat¶

Kun olet lukinnut varastetun kannettavan tietokoneen ja peruuttanut aktiiviset pilvi-istunnot (ensimmäiset 5 minuuttia), ilmoita fyysisestä varkaudesta paikallisille viranomaisille ja säilytä kahvilan/lentokentän CCTV-materiaali ennen kuin se korvataan (useimmat kahvilat korvaavat CCTV:n 24-72 tunnin välein):

Yhdysvallat ja Kanada¶

• Poliisin hätälähetys (ryöstö / aktiivinen epäilty näköpiirissä): Soita 911. (Jos olet lentokentän terminaalissa, ota välittömästi yhteyttä lentokenttäpoliisiin/satamaviranomaisiin** lähimmän portin korokkeella, jotta virkailijat voivat pysäyttää varkaan ennen kuin he poistuvat turvatoimista tai nousevat junaan).
• Muut kuin hätäpoliisin raportti (vaatii yritysvakuutuksen ja luottokorttiturvan): Soita 311 tai paikallisen kaupungin poliisin hätänumeroon saadaksesi poliisitapahtuman ilmoitusnumero.
• Federal Cyber / Corporate Theft Reporting: Jos varastettu lukitsematon yrityksen laite johtaa luvattomaan verkkoon tunkeutumiseen tai kiristykseen, ilmoita FBI:n Internet Crime Complaint Centeriin (ic3.gov) ja CISA (cisa.gov/report) Yhdysvalloissa tai Canadian Center for Cyber Security (cyber.gc.ca) Kanadassa.

Yhdistynyt kuningaskunta¶

• Poliisin hätälähetys (ryöstö / varas edelleen läsnä): Soita 999.
• Muu kuin hätäpoliisin raportti ja rautateiden/lentokenttien toimivalta:
  • Kahviloissa tai katupaikoissa: soita numeroon 101 (tai ilmoita verkossa paikallisille poliisivoimille) saadaksesi rikoksen viitenumeron (CRN) heti.
  • Junissa tai juna-/metroasemien sisällä: teksti British Transport Police (BTP) numerossa 61016 tai soita numeroon 0800 40 50 40.
• ** Tietomurron arviointi (UK GDPR):** Jos kannettava tietokone kaapattiin lukitsemattomana ja se sisälsi asiakkaiden tai työntekijöiden salaamattomia henkilötietoja, ilmoita asiasta tietosuojavastaavallesi (DPO) välittömästi arvioidakseen, onko 72 tunnin Yhdistyneen kuningaskunnan ICO-loukkausraportti (ico.org.uk) vaaditaan.

Euroopan unioni¶

• Yleiseurooppalainen hätänumero: Soita 112 saadaksesi välitöntä poliisiapua kaikissa EU:n jäsenvaltioissa.
• Poliisiraportti (Procès-Verbal / Strafanzeige / Denuncia): Vieraile lähimmällä paikallisella poliisiasemalla (Commissariat de Police, Polizeiwache, Comisaría de Policía, Questura) saadaksesi leimattu kirjallinen varkausraportti ja ilmoita välittömästi yrityksellesi tietosuojavastaavalle GDPR artiklan 33 mukaisesti, jos laite oli lukitsematta varkauden hetkellä.

Australia ja Uusi-Seelanti¶

• Hätälähetys: Soita numeroon 000 Australiassa tai 111 Uudessa-Seelannissa.
• Muu kuin hätäpoliisin raportti: Soita numeroon 131 444 (poliisin avustuslinja Australiassa) tai 105 (Uuden-Seelannin poliisin hätänumero) saadaksesi poliisin tapahtumanumeron ja ilmoita yrityksen valtuustietojen vaarantumisesta cyber.gov.au (ACSC) tai CERT NZ (cert.govt.nz).

Intia ja Aasian ja Tyynenmeren alue¶

• Intia: Soita numeroon 112 (hätänumero) tai 100 (poliisi) ja lähetä välittömästi e-FIR / kadonneiden esineiden raportti osavaltion poliisin kansalaisportaalin kautta, jotta sinulla on viralliset asiakirjat yrityksen MDM-omaisuuden poistamisesta ja CERT-In-yhteensopivuudesta.
• Singapore & Japani: Singaporessa soita numeroon 999 (hätätilanne) tai tee online-ilmoitus Singaporen poliisivoimien sähköisten palveluiden portaaliin (police.gov.sg). Japanissa ilmoittaudu välittömästi lähimpään Kobaniin (poliisilaatikko) tai lentokentän poliisiasemaan saadaksesi Tounan-Todoke (varkausilmoitusnumero).

Usein kysytyt kysymykset¶

Pitäisikö minun napsauttaa ensin "Tyhjennä tämä laite" (etäpyyhintä) tai "Merkitse kadonneeksi" (etälukitus), kun MacBook- tai Windows-kannettavani varastetaan lukitsemattomana?¶

Laukaise aina **Merkitse kadonneeksi / etälukitus ENSIN** ja odota, kunnes lukitus on vahvistettu (tai sovi yhteen yrityksesi IT-tiimin kanssa), ennen kuin käynnistät täyden tyhjennyksen/pyyhkimisen kahdesta tärkeästä syystä. Ensin a `Remote Lock` Paketti on pieni ja suoritetaan välittömästi mikrosekunnissa, kun se saavuttaa kannettavan Wi-Fi-yhteyden kautta, lopettaa aktiivisen työpöytäistunnon ja lukitsee näytön FileVault- tai BitLocker-salauksen taakse, mutta säilyttää samalla kannettavan tietokoneen kyvyn lähettää GPS/Wi-Fi-sijaintinsa takaisin Find My -palveluun. Toiseksi, jos napsautat "Poista tililtä" (joka on eri kuin Erase), sammutat aktivointilukon vahingossa, jolloin varas voi pyyhkiä ja myydä MacBookin puhtaasti. Älä koskaan napsauta "Poista tämä laite" Find My -kohdasta.

Jos kannettavassani oli FileVault (Mac) tai BitLocker (Windows) päällä, eikö se suojaa tiedostojani, vaikka ne varastettaisiin näytön ollessa auki?¶

Koko levyn salaus (FileVault 2 ja BitLocker) suojaa tietoja **lepotilassa** (kun kannettava tietokone on sammutettuna, lepotilassa tai lukittu käynnistys-/kirjautumisnäytössä). Kun olet kuitenkin kirjautuneena työpöydällesi näytön lukitsemattomana, salauksen pääavain on haihtuvassa järjestelmän RAM-muistissa, jotta käyttöjärjestelmäsi ja sovelluksesi voivat lukea ja kirjoittaa tiedostoja. Jos varas nappaa kannettavan tietokoneen näytön ollessa hereillä ja napauttaa jatkuvasti ohjauslevyä, jotta näyttö ei koskaan lukkiudu, FileVault ja BitLocker eivät estä heitä kopioimasta tiedostojasi, minkä vuoksi välittömän etälukituskomennon lähettäminen puhelimesta ja pilviistuntojen peruuttaminen ensimmäisen 60 sekunnin aikana on erittäin tärkeää.

Entä jos iPhoneni JA lukitsematon MacBookini kaapattaisiin samassa pöydässä: kuinka lukitsen ne ilman puhelintani 2FA:ta varten?¶

Apple rakensi erityisen hätäohitustien juuri tätä skenaariota varten: lainaa kahvilan työntekijän puhelinta, vieraan puhelinta tai työtoverin kannettavaa tietokonetta ja avaa **`icloud.com/find`** suoraan (huomaa `/find` URL-osoitteen lopussa). Toisin kuin pääasiallinen `icloud.com` portaali, **`icloud.com/find` antaa sinun kirjautua sisään VAIN Apple ID -sähköpostiosoitteellasi ja salasanallasi ILMAN 6-numeroista kaksivaiheista todennuskoodia**. Kerran sisällä `icloud.com/find`, voit laittaa sekä iPhonesi että MacBookisi välittömästi **Lost Mode** -tilaan, lukitsemalla molemmat näytöt ja poistamalla Apple Payn käytöstä alle 30 sekunnissa.

Voiko varas poimia yksityiset SSH-avaimet tai salasanani varastetusta YubiKey 5C Nanosta?¶

Ei. Aito YubiKey tallentaa kaikki yksityiset FIDO2-, U2F-, PIV- ja OpenPGP-avaimet peukaloinninkestävän kryptografisen Secure Element -laitteistosirun sisään (`EAL6+` sertifioitu). On fyysisesti ja matemaattisesti mahdotonta kopioida, viedä tai lukea YubiKeyn yksityistä avainta *ulos* tietokoneelle. Ainoa riski varastetussa YubiKeyssä on, että joku, jolla on fyysisesti avain hallussaan, voi kytkeä sen pistorasiaan ja koskettaa kultapainiketta *käyttääksesi* sitä, kunnes kirjaudut sisään tileillesi (GitHub, Google, AWS, SSH `authorized_keys`) ja poista YubiKeyn julkinen rekisteröinti.

Onko turvallista jättää kannettava tietokone kahvilan pöydälle 60 sekunniksi käyttääkseni wc:tä, jos lukitan näytön (Cmd+Ctrl+Q / Win+L) ensin?¶

Ei. Kun lukitset näytön painikkeella `Cmd + Ctrl + Q` tai `Win + L` suojaa digitaalisia tietojasi FileVaultin tai BitLockerin takana, se ei estä varasta kävelemästä ulos ovesta `$2,500` fyysinen kannettava tietokone 4 sekunnissa. Lukitun kannettavan tietokoneen jättäminen ilman valvontaa pöydälle altistaa sen myös fyysiselle laitteiston peukaloitumiselle (kuten pahanhakuinen hyökkääjä asettaa O.MG-kaapelin, USB Rubber Duckyn tai laitteiston näppäinloggerin USB-C-porttiin, kun olet vessassa). Liu'uta kannettava tietokoneesi aina reppuun ja ota se vessassa mukaasi joka kerta.

Lähteet ja virallinen ohje¶

• National Institute of Standards and Technology (NIST, Yhdysvallat): NIST SP 800-46 Rev. 2 Guide to Enterprise etätyöstä, etäkäytöstä ja BYOD-suojauksesta ja NIST SP 800-63B Digital Identity Guidelines (Monivaiheisen laitteistotodentajan katoamis- ja peruutusvaatimukset).
• Kyberturvallisuuden ja infrastruktuurin turvallisuusvirasto (CISA, Yhdysvallat) ja Yhdistyneen kuningaskunnan kansallinen kyberturvakeskus (NCSC): Laitteiden suojaaminen liikkeellä (fyysinen istunnon lukitus, Bluetooth-läheisyyslukko, olkapääsurffauksen esto ja etä-MDM-pyyhkimisprotokollat).
• Yubico AB: Mitä tehdä, jos kadotat Yubiavaimesi (support.yubico.com) (FIDO2:n 8-yrityksen PIN-lukitus, U2F-toisen tekijän riskimalli, OpenPGP 3-yrityksen PIN-lukitus ja vara-avainarkkitehtuuri).
• Apple Inc. & Microsoft Corporation: Apple Platform Security Guide (FileVault Volume Encryption, T2 / Apple Silicon Secure Enclave ja icloud.com/find No-2FA Lost Mode Architecture) ja Microsoft Windows 11 BitLocker DMA Protection & Dynamic Lock Technical Documentation.
• Euroopan tietosuojalautakunta (EDPB): ohjeet 9/2022 henkilötietojen rikkomisesta ilmoittamisesta GDPR:n mukaisesti (salatun lepotilassa lukitun laitteen varkauden ja lukitsemattoman aktiivisen istunnon laitteen varkauden erottaminen).

Aiheeseen liittyviä oppaita¶

• Työkannettava varastettiin tai rikkoutui matkan aikana: MDM-lukko ja palautus ilman seisokkeja
• Vahingossa tapahtuva tuotantotietokannan pudotus, git-salaisuusvuoto ja tapausten erottelu
• Hätätyön etätyöturvallisuus ja tietosuoja
• Työskentely etänä hotellista tai väliaikaisesta paikasta
• Ryöstöstä ja ryöstöstä selviytyminen
• Hätänumerot