Սրճարանում կամ օդանավակայանի սրահում գողացել են նոութբուքի կամ ապարատային անվտանգության բանալին.¶

Երբ էկրանը արթուն և ապակողպված է ձեր նոութբուքը խլել են սուրճի սեղանի, աշխատանքային գրասեղանի կամ օդանավակայանի հանգստի նստատեղից, կամ հասկանալ, որ գողը դուրս է եկել ձեր նոութբուքի պայուսակով, մինչդեռ ձեր FIDO2 ապարատային անվտանգության բանալին (YubiKey) դեռևս միացված էր USB-C պորտին, ֆիզիկական-թվային անվտանգության վատթարագույն դեպքն է, որը կարող է հանդիպել հեռավոր աշխատողի կամ ծրագրային ապահովման ինժեների հետ: Ի տարբերություն հյուրանոցի սենյակից գողացված անջատված նոութբուքի (որտեղ ամբողջական սկավառակի կոդավորումը, օրինակ՝ FileVault-ը կամ BitLocker-ը պահում է սկավառակը կողպված), ապակողպված տաք նոութբուքը գողին է տալիս ձեր ապակոդավորված RAM-ը, ապակողպված գաղտնաբառի կառավարիչը (1Password / Bitwarden), բրաուզերի իսկական վավերացման թխուկներ, ակտիվ AWS / GCP / Azure CLI հավատարմագրերը և չգաղտնագրված -/.ssh մասնավոր բանալիներ արծաթե սկուտեղի վրա:

Եթե հափշտակությունը կապված է ֆիզիկական հարձակման, կողոպուտի կամ զենքի սպառնալիքի հետ, անհապաղ տեղափոխվեք անվտանգ վայր և զանգահարեք ձեր տեղական շտապ օգնության համարին (911 Միացյալ Նահանգներում և Կանադայում, 112 ամբողջ Եվրամիությունում, 999 Միացյալ Թագավորությունում, տես. շտապ օգնության համարները) և վերանայել մեր կողոպուտի և թալանի գոյատևումը ուղեցույց. Երբեք մի հետապնդեք զինված կամ փախչող նոութբուք գողին փողոց կամ մեքենա: Փոխարենը, հանեք ձեր սմարթֆոնը գրպանից առաջին 60 վայրկյանում և կատարեք հենց այս նիստի սպանության և ապարատային կողպման հաջորդականությունը՝ խաչաձև հղում կատարելիս: Աշխատանքային նոութբուքը գողացել կամ կոտրվել է ճանապարհորդելիս. MDM կողպեք և զրոյական ժամանակի վերականգնում, պատահական արտադրության տվյալների բազայի անկում, git գաղտնի արտահոսք և միջադեպերի տրաֆիկ, և արտակարգ իրավիճակների հեռավոր աշխատանքի անվտանգություն և տվյալների գաղտնիություն.

Արեք սա հիմա¶

1. ՄԻ ՀԵՏԱԲԵՐԵՔ ԳՈՂԻՆ; հանեք ձեր սմարթֆոնը 15 վայրկյանի ընթացքում և գործարկեք հեռակառավարման սարքաշարի կողպումը (Find My / Find My Device / Corporate MDMՆախքան գողը նոութբուքը կդնի Ֆարադեյի պայուսակի մեջ կամ անջատի Wi-Fi-ը: Երբ գողը սրճարանի սեղանից խլում է բաց նոութբուքը, նոութբուքը առաջին անգամ միացված է մնում սրճարանի Wi-Fi-ին (կամ ձեր հեռախոսի թեժ կետին): 30 to 90 seconds երբ նրանք վազում են բլոկի վրայով.
   • ** MacBook (iPhone Find My App):** Բացեք Գտեք իմ -> Սարքերը -> [Ձեր MacBook] -> Նշել որպես կորած (Activate) և մուտքագրեք 4-ից 6 նիշանոց կողպեքի PIN-ը: Այն ակնթարթում, երբ այդ հրամանը հարվածում է MacBook-ին Wi-Fi-ի միջոցով, macOS-ն ավարտում է ակտիվ օգտատիրոջ աշխատաշրջանը, ստիպում է որոնվածը/OS-ի կողպման էկրանը և նորից մուտքագրելու համար պահանջում է FileVault գաղտնագրման հավատարմագրերը:
   • Windows 11 Նոթբուք: Ձեր հեռախոսի դիտարկիչում բացեք account.microsoft.com/devices -> ընտրեք ձեր նոութբուքը -> հպեք Գտեք իմ սարքը -> Կողպեք:
2. Եթե ձեր նոութբուքը միացված է ձեր սմարթֆոնի անձնական թեժ կետին, ՄԻ անջատեք ձեր թեժ կետը առաջին 60 վայրկյանում, ՄԻՆՉԵՎ սեղմեք «Նշել որպես կորցրած/Հեռակողպեք», ապա անմիջապես անջատեք այն: Եթե գողը դեռևս սրճարանից դուրս է գտնվում ձեզանից 15 մետր հեռավորության վրա, ապա ձեր հեռախոսի ակտիվ Wi-Fi-ը կարող է մատակարարել ակտիվ Wi-Fi-ին*: Mark As Lost սպանել հրամանը բաց նոութբուքին: Սպասեք 30 վայրկյան, մինչև կողպման հրամանը փոխանցվի, այնուհետև միացրեք Անձնական թեժ կետը OFF և Bluetooth OFF (որը նաև գործարկում է macOS/Windows Dynamic Lock, եթե զուգակցված է):
3. Զանգահարեք ձեր ընկերության ՏՏ անվտանգության / SOC թեժ գիծ ձեր հեռախոսով (0 to 3 minutes) գործարկել գլոբալ IdP նստաշրջանի չեղարկում (Okta / Microsoft Entra ID / Google Workspace) ԵՎ MDM Remote Wipe (Jamf / Intune / Kandji). Նույնիսկ եթե գողը արթուն է պահում նոութբուքի էկրանը՝ շարժելով թրեքփադը և անջատում Wi-Fi-ը, չեղյալ համարելով ամպային սերվերի վրա ձեր Single Sign-On (SSO) թարմացման և մուտքի նշանները երաշխավորում է, որ այն պահը, երբ գողը կրկին միացնում է նոութբուքը ցանկացած ինտերնետ կապին՝ Slack, Gmail, Corporate, GAWS-ին մուտք գործելու համար արդեն իսկ մեռած են401 Unauthorized)
4. ** Եթե ձեր Գաղտնաբառերի կառավարիչը (1Password, Bitwarden, LastPass, Dashlane, Apple Passwords) ապակողպվեց նոութբուքում, անմիջապես ԱՊԱԼԻԱՎՈՐԵՔ գողացված սարքը ձեր հեռախոսի հավելվածից:** Բացեք 1Password կամ Bitwarden-ը ձեր բջջային հեռախոսում, գնացեք Կառավարեք հաշիվը / Web Vault -> Active Sessions / Authorized Devices և կտտացրեք Dealitize / Revoke, եթե առկա է գողացված նոութբուքի գաղտնաբառի կրկնօրինակում, ապա գաղտնաբառերը ջնջեք:
5. ** Եթե ապարատային անվտանգության բանալի է (YubiKey 5C Nano / Titan Key) մնաց միացված նոութբուքի USB պորտին (կամ կցված է գողացված բանալիով), մուտք գործեք ձեր հաշիվներ ձեր հեռախոսից՝ օգտագործելով ձեր Պահուստային բանալի կամ գաղտնաբառ և Ջնջեք այդ կոնկրետ FIDO2 հավատարմագիրը:** Մինչ FIDO2 ապարատային բանալին պահանջում է FIDO2 PIN (4 to 63 characters) գաղտնաբառի համար resident-key մուտքեր, երբ օգտագործվում է որպես երկրորդ գործոն (U2F / WebAuthn non-discoverable) նոութբուքի վրա, որտեղ ձեր զննարկիչը արդեն պահել է ձեր օգտանունը և գաղտնաբառը, ամեն ոք, ով դիպչում է YubiKey-ի ոսկե կոնդենսիվ կոնտակտին, անցնում է 2FA առանց PIN:
6. ** Չեղարկեք և պտտեք ձեր հիմնական թղթապանակում պահվող տեղական մշակողի հավատարմագրերը (-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env ֆայլեր և GitHub/GitLab Personal Access Tokens):** Նույնիսկ եթե ամպային SSO-ն սպանվում է, հարձակվողը, ով արթուն է պահում ապակողպված նոութբուքը, ունի ֆայլային համակարգի չմշակված մուտք դեպի յուրաքանչյուր չգաղտնագրված SSH բանալի և ամպային API նշան, որը տեղադրված է ձեր տերմինալի պատմության մեջ (-/.zsh_history / -/.bash_history)

Որոշման ծառ. ապակողպված նոութբուքի խլում ընդդեմ ապարատային անվտանգության բանալու գողության ընդդեմ ուսի ճամփորդելու¶

Հետևեք այս գերարագ տրիաժի սխեմային առաջին 15 րոպեների ընթացքում սրճարանից, աշխատանքային տարածքից կամ օդանավակայանի անվտանգության միջադեպից հետո:

flowchart TD
    A["Հասարակական աշխատատեղերի անվտանգության արտակարգ իրավիճակ (սրճարան, աշխատանքային տարածք, օդանավակայանի սրահ, գնացք)"] --> B{"Ի՞նչ է տեղի ունեցել կոնկրետ։"}
    B -->|"Նոութբուքը խլվել է ԲԱՑԱԾ/Բաց վիճակում"| C["0-60-ական թվականներ. Ձեր հեռախոսում գործարկեք Apple Find My «Mark as Lost» կամ Microsoft «Lock Device» -> Call Corporate IT SOC for MDM Lock/Wipe + Global SSO Session Kill-ի համար:"]
    B -->|"Նոթբուքը գողացել են կողպված ժամանակ / կափարիչը փակ / անջատված է"| D["FileVault / BitLocker-ը պաշտպանում է սկավառակը հանգստի վիճակում -> Trigger Find My / MDM Remote Wipe -> Պտտել SSO գաղտնաբառը և չեղարկել ակտիվ ամպային նիստերը"]
    B -->|"Սարքավորման անվտանգության բանալին (YubiKey) գողացել են (մենակ կամ միացված նոութբուքի մեջ)"| E["Մուտք գործեք IdP (Okta/Entra/Google), GitHub, AWS և Password Manager ձեր հեռախոսից՝ օգտագործելով Backup Key/Passkey -> Ջնջել գողացված YubiKey գրանցումը:"]
    B -->|"Ուսի սերֆինգ / Ինչ-որ մեկը նկարահանել է ձեր էկրանը կամ ստեղնաշարը"| F["Անմիջապես կողպեք էկրանը (Cmd+Ctrl+Q / Win+L) -> Տեղափոխել մասնավոր տարածք -> Պտտեցնել հատուկ գաղտնաբառը/մուտքագրված PIN + ցանկացած API ստեղն, որը տեսանելի է էկրանին"]
    C --> G["Ապալիազորեք գողացված նոութբուքը 1Password / Bitwarden Web Vault-ի ներսում -> Դադարեցրեք բոլոր Google / Microsoft / Okta / Slack / GitHub վեբ նիստերը"]
    E --> G
    G --> H{"Արդյո՞ք նոութբուքն ուներ տեղական մշակողի բանալիներ (home .ssh, .aws, .gnupg, Git PATs, Docker/K8s թոքեններ):"}
    H -->|"ԱՅՈ. ինժեներ / ադմինիստրատոր / նոութբուքի հիմնադիր"| I["Ջնջել .ssh հանրային բանալիները GitHub/GitLab և արտադրական սերվերներից ('authorized_keys') -> Ապաակտիվացնել AWS IAM ստեղները Console-ում -> Չեղարկել GPG ստեղնը"]
    H -->|"ՈՉ. Ստանդարտ բիզնես / դիտարկիչի օգտատեր"| J["Ստուգեք, որ բրաուզերի համաժամացումը («Chrome/Edge/iCloud Keychain») դուրս է գրվել հեռակա կարգով."]
    I --> J

Մաս 1. 5 րոպեանոց «Kill Chain» բացված գողացված նոութբուքի համար (պլատֆորմ առ հարթակ հրամաններ)¶

Երբ նոութբուքը խլում են ապակողպված վիճակում, մի սպասեք, մինչև տուն գնաք կամ նոր համակարգիչ գնեք, որպեսզի սկսեք չեղարկել մուտքը: Ստորև բերված սահմանափակման կարևոր գործողություններից յուրաքանչյուրը կարող է իրականացվել անմիջապես ձեր iPhone-ից կամ Android-ից սմարթֆոնից, երբ կանգնած եք սրճարանում:

Քայլ 1. Օպերացիոն համակարգը հեռակա կարգով կողպեք (0 to 60 seconds)¶

1. ** Apple MacBook (macOS):**
   • Բացեք Find My հավելվածը ձեր iPhone-ում (կամ մուտք գործեք icloud.com/find հեռախոսի ցանկացած բրաուզերի վրա, որը շրջանցում է 2FA, այնպես որ կարող եք օգտագործել այն, նույնիսկ եթե ձեր հեռախոսը նույնպես գողացվել է):
   • Կտտացրեք Սարքեր -> [Ձեր MacBook] -> Նշել որպես կորած -> Ակտիվացնել:
   • Իսկ եթե գողը անմիջապես անջատի Wi-Fi-ը կամ փակի կափարիչը The Mark As Lost կամ Erase This Device հրամանները հերթեր են թողնում Apple-ի APN-ի սերվերների վրա և կրակում է բաժանված վայրկյան, որից հետո MacBook-ը հպվում է ցանկացած Wi-Fi ցանցի (կամ Find My ցանցի միջոցով): MacBook-ի կափարիչը փակելը նաև ավտոմատ կերպով արգելափակում է էկրանը, եթե Պահանջել գաղտնաբառ անմիջապես քնելուց հետո կամ էկրանապահիչի գործարկումը միացված է:
2. Windows 10 / Windows 11 նոութբուք:
   • Ձեր հեռախոսի դիտարկիչում բացեք account.microsoft.com/devices, ընտրեք ձեր նոութբուքը և հպեք Գտնել իմ սարքը -> Կողպել:
   • Եթե ​​դա կորպորատիվ Windows նոութբուք է, որը կառավարվում է Microsoft Intune-ի կողմից, մուտք գործեք Intune Company Portal (portal.manage.microsoft.com) ձեր հեռախոսում -> ընտրեք ձեր նոութբուքը -> հպեք Գործողություններ -> Հեռակա կողպում կամ Վերականգնել գաղտնաբառը / ջնջել:

Քայլ 2. Սպանել բոլոր ամպային Single Sign-On (SSO) և դիտարկիչի նիստերը (1 to 3 minutes)¶

Նույնիսկ եթե գողը անջատի նոութբուքի Wi-Fi-ը՝ ձեր տեղական կոշտ սկավառակը անցանց դիտելու համար, նրանք ի վերջո նոութբուքը միացնելու են բջջային թեժ կետին կամ պատճենելու են ձեր բրաուզերի Cookies և Local Storage SQLite ֆայլերը մեկ այլ մեքենայի վրա՝ ձեր մուտք գործած վեբ նիստերը հափշտակելու համար: Անվավեր դարձրեք սերվերի կողմում գտնվող այդ նստաշրջանի նշանները հենց հիմա ձեր հեռախոսից.

Մաս 2. Իսկ եթե ձեր YubiKey-ը կամ ապարատային անվտանգության բանալին գողանան:¶

Հեռավոր աշխատողներից շատերը թողնում են ցածրորակ YubiKey 5C Nano-ը մշտապես միացված իրենց նոութբուքի կողային USB-C պորտին կամ կրում են YubiKey 5 NFC կապանի վրա, որը խլվում է իրենց նոութբուքի պայուսակով: Հաճախ խուճապ է առաջանում.

1. Հասկանալով, թե ինչ կարող է և ՉԻ ԿԱՐՈՂ անել գողը ձեր գողացված YubiKey-ի հետ¶

Ժամանակակից ապարատային անվտանգության բանալի (YubiKey 5 Series, Google Titan, Token2, Nitrokey) աջակցում է չորս տարբեր նույնականացման արձանագրություններ, որոնցից յուրաքանչյուրն ունի տարբեր ռիսկային պրոֆիլ, երբ ֆիզիկապես գողացված է.

1. FIDO2 հայտնաբերելի հավատարմագրեր (Passkeys / Մուտք առանց գաղտնաբառի):
   • Պաշտպանված է ձեր FIDO2 PIN-ով (4 to 63 alphanumeric characters). Եթե գողը միացնում է ձեր գողացված YubiKey-ն իր սեփական համակարգչին և փորձում է օգտագործել առանց գաղտնաբառի FIDO2 գաղտնաբառ, YubiKey ապարատային չիպը պահանջում է ձեր FIDO2 PIN-ը: 8 անընդմեջ սխալ PIN-ի գուշակություններից հետո, FIDO2 հավելվածը YubiKey-ի վրա մշտապես արգելափակվում է և ինքնորոշվում (Factory Reset Required)՝ ջնջելով բոլոր հավատարմագրերը:
2. FIDO U2F / WebAuthn Երկրորդ գործոն (Username + Password + Touch YubiKey):
   • ** Կայքերի մեծ մասում ԼԱՆԿԱՅԻՆ ՊԻՆ ՉԻ ՊԱՀԱՆՋՎՈՒՄ:** Եթե գողը միայն գողացել է ձեր YubiKey-ը ձեր վերարկուի գրպանից (և *չունի ձեր նոութբուքը կամ ձեր գաղտնաբառերը), YubiKey-ն անիմաստ է նրանց համար, քանի որ U2F բանալին չի բացահայտում, թե որ կայքերում է այն գրանցված:
   • ԿՐԻՍՏԻԿ ՎՏԱՆԳ ԵԹԵ ԳՈՂԱՆԱՑՆԵԼ Է ՁԵՐ ԲԱՑՎԱԾ ՆՈՒՅԹՈՒԹՅԱՆ ՄԵՋ. Եթե գողը գողացել է ձեր ապկողպված նոութբուքը, ՈՒ YubiKey-ը միացված է կողքին, ապա ձեր բրաուզերի ավտոմատ լրացման կամ գաղտնաբառի կառավարիչը արդեն տրամադրում է օգտվողի անունը և գաղտնաբառը, իսկ գողացողը պետք է փոխանցի միայն FA-ի ոսկե կոճակը**-ի մատը: ձեր բանկում, AWS արմատային հաշվին կամ կրիպտո փոխանակմանը:
3. ** YubiKey OpenPGP (gpg SmartCard) & PIV (X.509 Վկայական) Applets:**
   • Պաշտպանված է ապարատային Օգտվողի PIN-ով (կանխադրված 123456 եթե դուք երբեք չեք փոխել այն) և Ադմինիստրատորի PIN-ը (կանխադրված 12345678) այդ կողպեքը 3 սխալ փորձերից հետո: (Եթե OpenPGP PIN-ը թողել եք գործարանային լռելյայն վիճակում 123456, ենթադրենք, որ YubiKey-ի PGP ստեղնը վտանգված է և անմիջապես չեղարկեք այն։)
4. YubiKey ստատիկ գաղտնաբառ / Yubico OTP (երկար 44 նիշ ccccc... լարը արձակվում է հպվելիս):
   • Եթե ​​դուք կարգավորել եք ձեր YubiKey-ի բռնակը 1-ը կամ 2-ը, որպեսզի մուտքագրեք ստատիկ գաղտնաբառ կամ Yubico OTP, երբ ոսկե պահոցը դիպչում եք 1-3 վայրկյան, ցանկացած ոք, ով պահում է ստեղնը, կարող է բացել Notepad-ը, դիպչել ստեղնին և կարդալ այդ ստատիկ տողը:

2. Քայլ առ քայլ արձանագրություն՝ 5 րոպեում գողացված YubiKey-ի գրանցումից հանելու համար¶

1. Ձեռք բերեք ձեր Պահուստային ապարատային անվտանգության բանալին (կամ օգտագործեք ձեր iPhone/Android գաղտնաբառը/Authenticator հավելվածը/Պահուստային կոդերը):
   • Լավագույն պրակտիկան (պարտադրված է NIST SP 800-63B-ի կողմից) միշտ գրանցել առնվազն երկու ֆիզիկական անվտանգության բանալի (մեկը ձեր ստեղնաշարի/նոութբուքի վրա, մեկը՝ փակված պահարանում կամ ճամփորդական ուղեբեռում) և սարքի գաղտնաբառ ձեր սմարթֆոնում:
2. Մուտք գործեք ձեր առաջնահերթ հաշիվներ և ջնջեք ՄԻԱՅՆ գողացված YubiKey-ն իր մականունով.
   • ** Google / Gmail (myaccount.google.com/signinoptions/two-step-verification):** Հպեք Գաղտնաբառեր և անվտանգության բանալիներ -> գտեք գողացված բանալին -> հպեք Աղբարկղի պատկերակին՝ այն հեռացնելու համար:
   • Microsoft / Entra ID (mysignins.microsoft.com/security-info): Գտեք գողացված Անվտանգության բանալին -> հպեք Ջնջել:
   • ** Apple ID (Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys):** Հպեք գողացված բանալին -> Հեռացնել բանալին:
   • ** GitHub (github.com/settings/security):** Գաղտնաբառեր և Երկգործոն մեթոդներ -> Անվտանգության բանալիներ բաժիններում սեղմեք Ջնջել գողացված բանալի կողքին:
   • AWS Root / IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication): Ընտրեք գողացված FIDO անվտանգության բանալին և սեղմեք Հեռացնել:
   • 1Գաղտնաբառ / Bitwarden / Cloudflare / Coinbase / Kraken: Բացեք յուրաքանչյուր ծառայության 2FA կարգավորումները և ջնջեք գողացված ապարատային նշանի գրանցումը:

Մաս 3. Մշակող, DevOps և SSH/GPG ստեղների ռոտացիա (The -/.ssh և -/.aws արտակարգ իրավիճակ)¶

Եթե դուք ծրագրային ապահովման ինժեներ եք, DevOps/SRE ադմինիստրատոր, տվյալների գիտնական կամ նորաստեղծ հիմնադիր, ում ապակողպված նոութբուքը գողացել են, զննարկիչի թխուկների չեղարկումը գործի կեսն է: Գողը, ով լցնում է ձեր տան գրացուցակը, հասանելի է յուրաքանչյուր երկարակյաց գաղտնագրման բանալին և CLI նշանը, որը պահվում է որպես պարզ տեքստ ձեր SSD-ում:

Կատարեք այս 5-քայլ մշակողի հավատարմագրերի մաքրումը պահեստային հեռախոսից կամ թիմակցի նոութբուքից առաջին 15 րոպեների ընթացքում:

1. SSH ստեղներ (-/.ssh/id_ed25519 / -/.ssh/id_rsa): Նույնիսկ եթե պաշտպանված է անցաբառով, ենթադրենք, որ բեռնված է ցանկացած SSH բանալի ssh-agent RAM-ում բացված նոութբուքի վրա վտանգված է: Գնալ դեպի github.com/settings/keys և gitlab.com/-/user_settings/ssh_keys և անմիջապես ջնջեք նոութբուքի SSH հանրային բանալին և խնդրեք թիմակցին հեռացնել ձեր հանրային բանալին -/.ssh/authorized_keys բոլոր արտադրական Linux սերվերների և bastion հոսթերի վրա:
2. ** Cloud CLI հավատարմագրերը (-/.aws/credentials, -/.config/gcloud, -/.azure):** Բացեք AWS IAM Console -> Users -> [Դուք] -> Անվտանգության հավատարմագրեր և սեղմեք Անջատել / Ջնջել Մուտքի բոլոր ստեղների վրա (AKIA...) Չեղարկել Google Cloud-ը gcloud auth OAuth թարմացնել նշանները ձեր Google հաշվի երրորդ կողմի կապերի էջի միջոցով (Google Cloud SDK)
3. GitHub, GitLab, npm, PyPI և Docker Անձնական մուտքի նշաններ. Գնալ դեպի github.com/settings/tokens և սեղմեք Չեղյալ համարել բոլորը ինչպես նուրբ PAT-ների, այնպես էլ դասականի վրա ghp_... նշաններ. Չեղյալ համարել -/.npmrc նշաններ (npmjs.com) և -/.pypirc նշաններ.
4. Կուբերնետես (-/.kube/config) & Terraform (-/.terraform.d): Պտտեցնել ստատիկ Kubeconfig հաճախորդի վկայագրերը կամ OIDC նշանները և չեղարկել Terraform Cloud API նշանները (app.terraform.io)
5. GPG / PGP ստորագրման բանալիներ (-/.gnupg): Հրապարակեք ձեր նախապես ստեղծված GPG չեղարկման վկայականը (gpg --import revoke.asc և gpg --keyserver keys.openpgp.org --send-keys [KeyID]) և ջնջեք GPG ստեղնը GitHub-ից:

Մաս 4. Արձագանքելով «ուսերի սերֆինգին» (ինչ-որ մեկը նկարահանել կամ դիտել է ձեր էկրանը սրճարանում/թռիչքում)¶

Ի՞նչ կլինի, եթե ոչ ոք չի գողացել ձեր ֆիզիկական նոութբուքը, բայց օդանավակայանի դարպասի մոտ, ինքնաթիռում կամ սրճարանում աշխատելիս բռնում եք ձեր հետևում կամ հարակից նստատեղին նստած մարդուն իր սմարթֆոնի տեսախցիկով նկարահանում է ձեր էկրանը կամ ստեղնաշարը (կամ ուղիղ նայում է բաց պատուհանին։ .env ֆայլ, գաղտնաբառի հուշում, թե՞ գաղտնի սլայդ տախտակամած):

1. ** Անմիջապես կողպեք ձեր էկրանը մեկ ռեֆլեքսային ստեղնաշարի միջոցով.**
   • macOS: Սեղմեք Cmd + Ctrl + Q (անմիջապես կողպում է էկրանը՝ առանց հավելվածները փակելու):
   • Windows: Սեղմեք Win + L.
   • Linux: Սեղմեք Super + L կամ Ctrl + Alt + L.
2. Ֆիզիկական վիճաբանություն մի սկսեք. Հանգիստ հավաքեք ձեր նոութբուքը, տեղափոխվեք առանձին նստատեղ՝ մեջքով ամուր պատին հենած և ստուգեք, թե ինչ է տեսանելի էկրանին կամ մուտքագրված ստեղնաշարի վրա նախորդ 10 րոպեների ընթացքում:
3. Պտտեք էկրանին հայտնված յուրաքանչյուր գաղտնիք.
   • Եթե դուք մուտքագրել եք ձեր նոութբուքի մուտքի գաղտնաբառը կամ գաղտնաբառերի կառավարչի հիմնական գաղտնաբառը, մինչ ինչ-որ մեկը կարող էր տեսնել ձեր մատները, անմիջապես փոխեք այդ գաղտնաբառը մասնավոր վայրից:
   • Եթե տերմինալային պատուհան, .env ֆայլը, փոստատարի վերնագիրը կամ ամպային վահանակը տեսանելի էին էկրանին, ենթադրենք բարձր լուծաչափով 4K սմարթֆոնի տեսախցիկը 3 մետրի վրա (10 ոտնաչափ) ֆիքսել է ձեր API ստեղների հստակ, խոշորացնելու հնարավորություն և անմիջապես պտտել այդ ստեղները (տես Zoom-ի կամ Teams-ի էկրանի համօգտագործման պատահական արտահոսք)

6 կետանոց «Cafe & Airport Proof» նոութբուքերի կարծրացման ստուգաթերթ (տեղադրվել է այսօր)¶

Կարգավորեք այս վեց ապարատային և ՕՀ-ի կարգավորումները հենց հիմա, որպեսզի նույնիսկ եթե վաղը գողը խլում է ձեր բաց նոութբուքը սեղանից, նոութբուքն ինքն իրեն կողպում է նախքան գողը կհասնի սրճարանին:

• 1. Միացնել Bluetooth Proximity Auto-Lock-ը (Dynamic Lock Windows-ում / Near Lock կամ Apple Watch Auto-Lock Mac-ում):
  • Windows 11: Զուգակցեք ձեր iPhone-ը կամ Android հեռախոսը ձեր նոութբուքին Bluetooth-ի միջոցով, այնուհետև անցեք Կարգավորումներ -> Հաշիվներ -> Մուտքի ընտրանքներ -> Դինամիկ կողպում և նշեք «Թույլ տվեք Windows-ին ավտոմատ արգելափակել ձեր սարքը, երբ բացակայում եք»: Հենց որ գողը նոութբուքով սեղանից վազում է 10 մետր (33 ոտնաչափ) հեռավորության վրա (կամ դուք անջատում եք Bluetooth-ը ձեր հեռախոսի գրպանում), Windows-ը ավտոմատ կերպով կողպում է էկրանը:
• 2. Սահմանեք «Թեժ անկյուն» և 60 վայրկյան մարտկոցի պարապ էկրանի կողպման ժամաչափ՝
  • MacOS-ում (Համակարգի կարգավորումներ -> Կողպեք էկրան) և Windows-ում (Կարգավորումներ -> Համակարգ -> Էլեկտրաէներգիա և մարտկոց -> Էկրան և քուն), սահմանեք Անջատել էկրանը / Պահանջել գաղտնաբառ մարտկոցի վրա մինչև 1 կամ 2 րոպե, երբ աշխատում եք հասարակական վայրերում:
• 3. Կարգավորեք 1Password / Bitwarden-ը, որպեսզի անմիջապես կողպվի, երբ համակարգը կողպվի կամ 1 րոպե անգործությունից հետո.
  • 1Գաղտնաբառ -> Կարգավորումներ -> Անվտանգություն-ում սահմանեք Կողպել համակարգչի անգործությունից հետո 1 minute, նշեք Lock on sleep և միացրեք Touch ID/Windows Hello, որպեսզի երբեք չմուտքագրեք ձեր հիմնական գաղտնաբառը հանրության մեջ տեսանելի ստեղնաշարերով:
• 4. Յուրաքանչյուրի համար պահանջվում է ապարատային հպում և անցաբառ ssh և git Գործողություն (1Password SSH Agent կամ FIDO2 ed25519-sk Բանալիներ):
  • Չկոդավորված թողնելու փոխարեն -/.ssh/id_ed25519 ֆայլեր ձեր կոշտ սկավառակի վրա, պահեք ձեր SSH ստեղները 1Password SSH Agent ներսում (որը պահանջում է կենսաչափական Touch ID հաստատում յուրաքանչյուրի համար git push կամ ssh միացում) ԿԱՄ ստեղծել ապարատային կապակցված ssh-keygen -t ed25519-sk -O verify-required բանալիներ, որոնք հնարավոր չէ պատճենել ձեր YubiKey-ից և պահանջում են ձեր FIDO2 PIN-ը յուրաքանչյուր օգտագործման դեպքում:
• **5. Միշտ միացրեք մագնիսական 60-Degree Micro-Louver գաղտնիության էկրանի զտիչ (3M / Kensington) Հանրայինում՝ **
  • Գաղտնիության մագնիսական էկրանը մգացնում է ձեր էկրանը միանգամայն սև գույնի բոլորի համար, ովքեր դիտում են 30 աստիճանից ավելի կենտրոնից անկյունից, կուրացնում է ուսասերֆինգիստներին հաջորդ ինքնաթիռի կամ սրճարանի նստատեղում:
• 6. Երբեք մի թողեք նոութբուքը առանց հսկողության «ընդամենը 30 վայրկյան»՝ սուրճ խմելու կամ զուգարանից օգտվելու համար.
  • Ավարտվել է 70 percent Սրճարանների և օդանավակայանի սրահների գողությունները տեղի են ունենում, երբ աշխատողը 45 վայրկյանով թողնում է իր նոութբուքը սեղանի վրա՝ վաճառասեղանից լատտե վերցնելու համար կամ անծանոթ մարդուն հարցնում է.

Տարածաշրջանային արտակարգ իրավիճակների համարներ և գործակալությունների արձանագրություններ¶

Գողացված նոութբուքը կողպելուց և ակտիվ ամպային նիստերը չեղարկելուց հետո (առաջին 5 րոպեները), զեկուցեք տեղական իշխանություններին ֆիզիկական գողության մասին և պահպանեք սրճարանի/օդանավակայանի տեսախցիկի տեսագրությունը նախքան դրանք վերագրանցելը (սրճարանների մեծ մասը վերագրանցում է CCTV-ն 24-72 ժամը մեկ):

Միացյալ Նահանգներ և Կանադա¶

• Շտապ օգնության ոստիկանություն (Կողոպուտ / Ակտիվ կասկածյալ տեսադաշտում). Զանգահարեք 911: (Եթե գտնվում եք օդանավակայանի տերմինալում, անմիջապես դիմեք օդանավակայանի ոստիկանություն/նավահանգստային ոստիկանության մոտակա դարպասի ամբիոնում, որպեսզի սպաները կարողանան կանխել գողին նախքան անվտանգության ծառայությունից դուրս գալը կամ գնացք նստելը):
• Ոչ շտապ ոստիկանության հաշվետվություն (պահանջվում է կորպորատիվ ապահովագրության և վարկային քարտի ծածկույթի համար). Զանգահարեք 311 կամ տեղական քաղաքային ոստիկանության ոչ շտապ գիծ՝ ոստիկանության միջադեպի հաշվետվության համարը ստանալու համար:
• Դաշնային կիբեր/կորպորատիվ գողության մասին հաշվետվություն. Եթե գողացված ապակողպված կորպորատիվ սարքը հանգեցնում է ցանցի չարտոնված ներխուժման կամ շորթման, զեկուցեք FBI Internet Crime Complaint Center (ic3.gov) և CISA (cisa.gov/report) ԱՄՆ-ում կամ Կիբերանվտանգության կանադական կենտրոն (cyber.gc.ca) Կանադայում։

Միացյալ Թագավորություն¶

• Շտապ օգնության ոստիկանություն (Կողոպուտ / Գող դեռ ներկա). Զանգահարեք 999:
• Ոստիկանության ոչ արտակարգ իրավիճակների մասին հաղորդում և երկաթուղային/օդանավակայանի իրավասություն.
  • Սրճարաններում կամ փողոցներում. Զանգահարեք 101 (կամ դիմեք առցանց տեղական ոստիկանությանը)՝ Հանցագործության տեղեկանքի համարը (CRN) անմիջապես.
  • Գնացքներում կամ գնացքի/մետրոյի կայարաններում. Տեքստ Բրիտանական տրանսպորտային ոստիկանություն (BTP) 61016 հեռախոսահամարով կամ զանգահարել 0800 40 50 40։
• Տվյալների խախտումների գնահատում (UK GDPR): Եթե նոութբուքը խլվել է ապակողպված ժամանակ և պարունակել է հաճախորդների կամ աշխատակիցների չգաղտնագրված անձնական տվյալներ, տեղեկացրեք Ձեր տվյալների պաշտպանության պատասխանատուին (DPO) անմիջապես գնահատելու, թե արդյոք ** 72-ժամյա Մեծ Բրիտանիայի ICO-ի խախտման զեկույցը (ico.org.uk)** պարտադիր է։

Եվրամիություն¶

• Շտապ օգնության համաեվրոպական համար. Զանգահարեք 112` ԵՄ անդամ բոլոր երկրներում ոստիկանության անհապաղ օգնության համար:
• Ոստիկանության հաղորդում (Procès-Verbal / Strafanzeige / Denuncia): Այցելեք մոտակա տեղական ոստիկանական բաժանմունք (Պոլիսի կոմիսարիատ, Polizeiwache, Comisaría de Policía, Questura)՝ կնիքով գրավոր գողության մասին հաշվետվություն ստանալու համար և անմիջապես տեղեկացրեք ձեր ընկերության DPO-ին GDPR-ի հոդված 33-ի համաձայն, եթե սարքն ապակողպված է եղել գողության պահին:

Ավստրալիա և Նոր Զելանդիա¶

• Շտապ օգնություն. Զանգահարեք 000 Ավստրալիայում կամ 111 Նոր Զելանդիայում:
• Ոստիկանության ոչ արտակարգ իրավիճակների մասին հաղորդում. Զանգահարեք 131 444 (Ոստիկանական օգնության գիծ Ավստրալիայում) կամ 105 (Նոր Զելանդիայի ոստիկանության ոչ շտապ դեպք) ոստիկանության իրադարձության համարը ստանալու համար և հայտնեք կորպորատիվ հավատարմագրերի փոխզիջման մասին -ի միջոցով:cyber.gov.au (ACSC) կամ CERT NZ (cert.govt.nz).

Հնդկաստան և Ասիա-Խաղաղօվկիանոսյան¶

• Հնդկաստան. Զանգահարեք 112 (Արտակարգ իրավիճակ) կամ 100 (Ոստիկանություն) և անմիջապես ներկայացրեք e-FIR / Կորած հոդվածի մասին հաշվետվություն պետական ոստիկանության քաղաքացու պորտալի միջոցով, որպեսզի ունենաք պաշտոնական փաստաթղթեր կորպորատիվ MDM ակտիվների դուրսգրման և CERT-In համապատասխանության համար:
• Սինգապուր և Ճապոնիա. Սինգապուրում զանգահարեք 999 (Արտակարգ իրավիճակ) կամ ներկայացրեք առցանց հաշվետվություն Singapore Police Force E-Services Portal-ում (police.gov.sg). Ճապոնիայում անհապաղ զեկուցեք մոտակա Koban (Ոստիկանական արկղ) կամ օդանավակայանի ոստիկանության բաժանմունք՝ Tounan-Todoke (գողության հաշվետվության համարը) ստանալու համար:

Հաճախակի տրվող հարցեր¶

Պետք է նախ սեղմեմ «Ջնջել այս սարքը» (Remote Wipe) կամ «Mark as Lost» (Remote Lock), երբ իմ MacBook-ը կամ Windows նոութբուքը գողանան, ապակողպված:¶

Միշտ գործարկեք **Նշեք որպես կորցրած/ԱՌԱՋԻՆ Հեռակառավարման կողպեքը** և սպասեք, մինչև կողպումը հաստատվի (կամ համաձայնեցրեք ձեր կորպորատիվ ՏՏ թիմի հետ) նախքան ամբողջական Ջնջել/Սրբել գործարկելը երկու կարևոր պատճառով: Նախ, ա `Remote Lock` Փաթեթը փոքր է և ակնթարթորեն աշխատում է այն միկրովայրկյանից, երբ հասնում է նոութբուքին Wi-Fi-ի միջոցով՝ դադարեցնելով աշխատասեղանի ակտիվ աշխատաշրջանը և կողպելով էկրանը FileVault կամ BitLocker գաղտնագրման հետևում, միևնույն ժամանակ պահպանելով նոութբուքի կարողությունը՝ իր GPS/Wi-Fi-ի գտնվելու վայրը վերադարձնել Find My-ին: Երկրորդ, եթե սեղմում եք «Հեռացնել հաշվից» (որը տարբերվում է «Ջնջել»-ից), դուք պատահաբար անջատում եք «Ակտիվացման կողպեքը»՝ թույլ տալով գողին մաքրել և վերավաճառել MacBook-ը: Երբեք մի սեղմեք «Հեռացնել այս սարքը» Find My-ից:

Եթե իմ նոութբուքում FileVault (Mac) կամ BitLocker (Windows) միացված է եղել, արդյոք դա չի՞ պաշտպանում իմ ֆայլերը, նույնիսկ եթե դրանք գողացվել են, երբ էկրանը բաց է եղել:¶

Ամբողջ սկավառակի կոդավորումը (FileVault 2 և BitLocker) պաշտպանում է տվյալները **հանգստի վիճակում** (երբ նոութբուքն անջատված է, ձմեռում է կամ կողպված է նախնական բեռնման/մուտքի էկրանին): Այնուամենայնիվ, մինչ դուք մուտք եք գործել ձեր աշխատասեղան՝ բացված էկրանով, կոդավորման հիմնական բանալին տեղադրված է անկայուն համակարգի RAM-ում, որպեսզի ձեր օպերացիոն համակարգը և հավելվածները կարողանան կարդալ և գրել ֆայլեր: Եթե գողը խլում է ձեր նոութբուքը, երբ էկրանը արթուն է և շարունակում է դիպչել թրեքփադին, որպեսզի էկրանը երբեք չկողպվի, FileVault-ը և BitLocker-ը նրանց չեն խանգարում պատճենել ձեր ֆայլերը, այդ իսկ պատճառով ձեր հեռախոսից անհապաղ հեռակա կողպման հրաման ուղարկելը և ամպային նիստերը չեղարկելը շատ կարևոր է առաջին 60 վայրկյանում:

Ի՞նչ կլիներ, եթե իմ iPhone-ը և իմ ապակողպված MacBook-ը երկուսն էլ միասին խլվեին նույն սեղանի շուրջ. ինչպե՞ս կարող եմ դրանք կողպել առանց հեռախոսի 2FA-ի համար:¶

Apple-ը ստեղծել է հատուկ վթարային շրջանցում հենց այս սցենարի համար՝ վերցնել սրճարանի աշխատակցի հեռախոսը, անծանոթի հեռախոսը կամ գործընկերոջ նոութբուքը և բացել **`icloud.com/find`** ուղղակիորեն (նկատեք `/find` URL-ի վերջում): Ի տարբերություն հիմնական `icloud.com` պորտալ, **`icloud.com/find` թույլ է տալիս մուտք գործել ՄԻԱՅՆ ձեր Apple ID էլփոստով և գաղտնաբառով ԱՌԱՆՑ 6 նիշանոց երկգործոն նույնականացման կոդ**: Մի անգամ ներս `icloud.com/find`Դուք կարող եք անմիջապես տեղադրել և՛ iPhone-ը, և՛ MacBook-ը **Կորած ռեժիմում**՝ կողպելով երկու էկրանները և անջատելով Apple Pay-ը 30 վայրկյանից պակաս ժամանակում:

Կարո՞ղ է գողը հանել իմ SSH անձնական բանալիները կամ գաղտնաբառերը գողացված YubiKey 5C Nano-ից:¶

Ոչ: Իրական YubiKey-ը պահում է բոլոր FIDO2, U2F, PIV և OpenPGP մասնավոր բանալիները կեղծման դիմացկուն գաղտնագրված Secure Element ապարատային չիպի ներսում (`EAL6+` վավերացված): Ֆիզիկապես և մաթեմատիկորեն անհնար է պատճենել, արտահանել կամ կարդալ YubiKey-ից անձնական բանալին *դուրս* համակարգչի վրա: Գողացված YubiKey-ի միակ ռիսկն այն է, որ ինչ-որ մեկը, ով ֆիզիկապես ունի բանալին, կարող է միացնել այն և դիպչել ոսկե կոճակին՝ այն *օգտագործելու* համար, մինչև մուտք գործեք ձեր հաշիվներ (GitHub, Google, AWS, SSH): `authorized_keys`) և ջնջեք YubiKey-ի հանրային գրանցումը:

Արդյո՞ք անվտանգ է իմ նոութբուքը 60 վայրկյան թողնել սրճարանի սեղանի վրա՝ զուգարանից օգտվելու համար, եթե կողպեմ էկրանը (Cmd+Ctrl+Q / Win+L) նախ?¶

Ոչ: Ձեր էկրանը կողպելու ժամանակ `Cmd + Ctrl + Q` կամ `Win + L` պաշտպանում է ձեր թվային տվյալները FileVault-ի կամ BitLocker-ի ետևում, այն զրոյական է դարձնում, որպեսզի գողը դռնից դուրս գա ձեր հետ: `$2,500` ֆիզիկական նոութբուք 4 վայրկյանում: Կողպված նոութբուքը սեղանի վրա առանց հսկողության թողնելու դեպքում այն ​​նաև ենթարկվում է ֆիզիկական ապարատային խախտման (օրինակ՝ չարամիտ հարձակվողը, որը մտցնում է O.MG մալուխ, USB Rubber Ducky կամ ապարատային keylogger ձեր USB-C պորտում, երբ դուք զուգարանում եք): Միշտ սահեցրեք ձեր նոութբուքը ձեր ուսապարկի մեջ և ամեն անգամ այն ​​ձեզ հետ տարեք զուգարան:

Աղբյուրներ և պաշտոնական ուղեցույց¶

• Ստանդարտների և տեխնոլոգիաների ազգային ինստիտուտ (NIST, Միացյալ Նահանգներ): NIST SP 800-46 Rev. 2 ձեռնարկ ձեռնարկությունների հեռաաշխատանքի, հեռահար մուտքի և ձեր սեփական սարքի (BYOD) անվտանգության համար և *NIST SP 800-63B թվային ինքնության ուղեցույցներ (Բազմաֆունկցիոնալ ապարատային իսկորոշիչի կորուստներ և փոխհատուցումներ)
• Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալություն (CISA, Միացյալ Նահանգներ) և Մեծ Բրիտանիայի կիբերանվտանգության ազգային կենտրոն (NCSC): Շարժվող սարքերի պաշտպանություն (Ֆիզիկական նստաշրջանի կողպեք, Bluetooth մոտիկության կողպեք, ուսերի վրա ճամփորդելու մեղմացում և հեռակառավարվող MDM մաքրման արձանագրություններ):
• Yubico AB: Ինչ անել, եթե կորցնեք ձեր YubiKey-ը (support.yubico.com) (FIDO2 8-Attempt PIN Lockout, U2F Երկրորդ Factor Risk Model, OpenPGP 3-Attempt PIN Lock, and Backup Key Architecture):
• Apple Inc. & Microsoft Corporation. Apple Platform անվտանգության ուղեցույց (FileVault Volume Encryption, T2 / Apple Silicon Secure Enclave, և icloud.com/find No-2FA Lost Mode Architecture) և Microsoft Windows 11 BitLocker DMA Protection & Dynamic Lock Technical Documentation:
• Տվյալների պաշտպանության եվրոպական խորհուրդ (EDPB): Ուղեցույցներ 9/2022 անձնական տվյալների խախտումների մասին ծանուցման վերաբերյալ GDPR-ի համաձայն (Գաղտնագրված հանգստի ռեժիմում կողպված սարքի գողությունը տարբերակելն ընդդեմ չկողպված ակտիվ նստաշրջանի սարքի գողության):

Առնչվող ուղեցույցներ¶

• Աշխատանքային նոութբուքը գողացել կամ կոտրվել է ճանապարհորդելիս. MDM կողպեք և զրոյական ժամանակի վերականգնում
• Պատահական արտադրության տվյալների բազայի անկում, git գաղտնի արտահոսք և միջադեպերի տրաֆիկ
• Արտակարգ իրավիճակների հեռավոր աշխատանքի անվտանգություն և տվյալների գաղտնիություն
• Հյուրանոցից կամ ժամանակավոր տարածքից հեռակա աշխատանք
• Կողոպուտ և գողություն գոյատևել
• Արտակարգ իրավիճակների համարներ