Laptop- of hardwarebeveiligingssleutel gestolen in een café of luchthavenlounge: onmiddellijke sessiemoord¶

Als uw laptop direct van een koffietafel, een coworking-bureau of een luchthavenloungestoel wordt weggerukt terwijl het scherm wakker en ontgrendeld is, of als u zich realiseert dat een dief met uw laptoptas is weggelopen terwijl uw FIDO2-hardwarebeveiligingssleutel (YubiKey) nog steeds op de USB-C-poort was aangesloten, is het ergste fysiek-naar-digitaal beveiligingsnoodgeval waarmee een externe medewerker of software-ingenieur te maken kan krijgen. In tegenstelling tot een uitgeschakelde laptop die uit een hotelkamer wordt gestolen (waar volledige schijfversleuteling zoals FileVault of BitLocker de schijf vergrendeld houdt), overhandigt een ontgrendelde warme laptop de dief uw gedecodeerde RAM, ontgrendelde wachtwoordbeheerder (1Password / Bitwarden), live browserauthenticatiecookies, actief AWS / GCP / Azure CLI-referenties en niet-versleuteld -/.ssh privésleutels op een presenteerblaadje.

Als bij de ruk-en-grijper sprake is van fysieke mishandeling, beroving of bedreiging met wapens, ga dan onmiddellijk naar een veilige locatie en bel uw lokale alarmnummer (911 in de Verenigde Staten en Canada, 112 in de hele Europese Unie, 999 in het Verenigd Koninkrijk; zie noodnummers) en bekijk onze overleven van diefstal en beroving gids. Achtervolg nooit een gewapende of vluchtende laptopdief de straat of het voertuig in. Haal in plaats daarvan uw smartphone binnen de eerste 60 seconden uit uw zak en voer deze exacte sessie-kill- en hardware-lock-sequentie uit terwijl u kruisverwijzingen maakt werklaptop gestolen of kapot tijdens het reizen: MDM-vergrendeling en herstel zonder downtime, onbedoelde drop-off van de productiedatabase, git-geheime lekkage en incidenttriage, en noodbeveiliging voor werken op afstand en gegevensprivacy.

Doe dit nu¶

1. JACHT DE DIEF NIET; trek uw smartphone binnen 15 seconden uit en activeer een Remote Hardware Lock (Find My / Find My Device / Corporate MDM) VOORDAT de dief de laptop in een Faraday-tas stopt of Wi-Fi uitschakelt. Wanneer een dief een open laptop van een cafétafel grist, blijft de laptop voor de eerste keer verbonden met de Wi-Fi van het café (of de hotspot van uw telefoon). 30 to 90 seconds terwijl ze door het blok rennen:
   • MacBook (iPhone Find My App): Open Zoek mijn -> Apparaten -> [Uw MacBook] -> Markeer als verloren (Activate) en voer een pincode van 4 tot 6 cijfers in. Op het moment dat dat commando de MacBook via Wi-Fi bereikt, beëindigt macOS de actieve gebruikerssessie, forceert een firmware/OS-vergrendelingsscherm en vereist FileVault-coderingsreferenties om opnieuw te kunnen inloggen.
   • Windows 11-laptop: Open ** in de browser van uw telefoonaccount.microsoft.com/devices** -> selecteer uw laptop -> tik op Vind mijn apparaat -> Vergrendelen.
2. Als uw laptop was verbonden met de persoonlijke hotspot van uw smartphone, schakel uw hotspot dan NIET uit gedurende de eerste 60 seconden TOTDAT u op "Markeren als verloren/op afstand vergrendelen" klikt, en verbreek deze vervolgens onmiddellijk daarna. Als de dief zich buiten het café nog steeds binnen 15 meter (50 voet) van u bevindt, kan de actieve Wi-Fi-hotspot van uw telefoon de enige internetverbinding zijn die uw Mark As Lost kill-opdracht naar de open laptop. Wacht 30 seconden totdat het vergrendelingscommando is verzonden en schakel vervolgens Persoonlijke hotspot UIT en Bluetooth UIT (waardoor ook macOS/Windows Dynamic Lock wordt geactiveerd, indien gekoppeld).
3. Bel de IT-beveiligings-/SOC-hotline van uw bedrijf op uw telefoon (0 to 3 minutes) om een algemene IdP-sessie-intrekking te activeren (Okta / Microsoft Entra ID / Google Workspace) EN een MDM-wisfunctie op afstand (Jamf / Intune / Kandji). Zelfs als de dief het laptopscherm wakker houdt door met het trackpad te bewegen en wifi uitschakelt, garandeert het intrekken van uw Single Sign-On (SSO) vernieuwings- en toegangstokens op de cloudserver dat op het moment dat de dief de laptop opnieuw verbindt met elke internetverbinding om toegang te krijgen tot Slack, Gmail, GitHub of AWS, elke bedrijfswebsessie al dood is (401 Unauthorized).
4. Als uw wachtwoordbeheerder (1Password, Bitwarden, LastPass, Dashlane, Apple Passwords) is ontgrendeld op de laptop, DEAUTORISEER het gestolen apparaat onmiddellijk vanuit uw telefoonapp. Open 1Password of Bitwarden op uw mobiele telefoon, ga naar Account beheren / Webkluis -> Actieve sessies / Geautoriseerde apparaten en klik op Machtiging intrekken / Intrekken op de gestolen laptop en draai vervolgens uw hoofdwachtwoord als er een back-up in leesbare tekst bestond.
5. Als een hardwarebeveiligingssleutel (YubiKey 5C Nano / Titan Key) aangesloten is gebleven op de USB-poort van de laptop (of vastzit aan een gestolen sleutelhanger), logt u vanaf uw telefoon in op uw accounts met uw back-upsleutel of toegangssleutel en VERWIJDERt u de specifieke FIDO2-referentie. Terwijl voor een FIDO2-hardwaresleutel een FIDO2-pincode vereist is (4 to 63 characters) voor wachtwoordloos resident-key logins, indien gebruikt als tweede factor (U2F / WebAuthn non-discoverable) op een laptop waarop uw browser uw gebruikersnaam en wachtwoord al heeft opgeslagen, iedereen die het gouden capacitieve contact op de YubiKey aanraakt, passeert 2FA zonder pincode.
6. Trek alle lokale ontwikkelaarsreferenties in die in uw thuismap zijn opgeslagen in en roteer ze (-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env bestanden en GitHub/GitLab Personal Access Tokens). Zelfs als cloud-SSO wordt gedood, heeft een aanvaller die een ontgrendelde laptop wakker houdt, onbewerkte bestandssysteemtoegang tot elke niet-versleutelde SSH-sleutel en cloud-API-token in uw terminalgeschiedenis (-/.zsh_history / -/.bash_history).

Beslissingsboom: ontgrendelde laptoproof vs. diefstal van hardwarebeveiligingssleutels vs. schoudersurfen¶

Volg dit snelle triage-stroomschema gedurende de eerste 15 minuten na een café-, coworking-ruimte- of luchthavenveiligheidsincident.

flowchart TD
    A["Beveiliging van openbare werkplekken (café, coworkingruimte, luchthavenlounge, trein)"] --> B{"Wat is er precies gebeurd?"}
    B -->|"Laptop weggerukt terwijl hij ONTGRENDELD/open was"| C["0-60s: activeer op uw telefoon Apple Zoek mijn 'Markeren als verloren' of Microsoft 'Apparaat vergrendelen' -> Bel de IT-SOC van het bedrijf voor MDM Lock/Wipe + Global SSO Session Kill"]
    B -->|"Laptop gestolen terwijl deze vergrendeld was / deksel gesloten / uitgeschakeld"| D["FileVault / BitLocker beschermt schijf in rust -> Trigger Find My / MDM Remote Wipe -> SSO-wachtwoord roteren en actieve cloudsessies intrekken"]
    B -->|"Hardwarebeveiligingssleutel (YubiKey) gestolen (alleen of aangesloten op laptop)"| E["Log in op IdP (Okta/Entra/Google), GitHub, AWS en Wachtwoordbeheer vanaf uw telefoon met behulp van Backup Key/Passkey -> Verwijder de gestolen YubiKey-registratie"]
    B -->|"Schoudersurfen / Iemand heeft uw scherm of toetsenbord gefilmd"| F["Scherm onmiddellijk vergrendelen (Cmd+Ctrl+Q / Win+L) -> Ga naar privégebied -> Draai het specifieke wachtwoord/de getypte pincode + eventuele API-sleutels zichtbaar op het scherm"]
    C --> G["Autorisatie van gestolen laptop intrekken in 1Password / Bitwarden Web Vault -> Beëindig alle Google / Microsoft / Okta / Slack / GitHub websessies"]
    E --> G
    G --> H{"Had de laptop lokale ontwikkelaarssleutels (home .ssh, .aws, .gnupg, Git PATs, Docker/K8s-tokens)?"}
    H -->|"JA: Laptop van ingenieur/beheerder/oprichter"| I["Verwijder openbare .ssh-sleutels van GitHub/GitLab en productieservers (`authorized_keys`) -> Deactiveer AWS IAM-sleutels in Console -> Trek GPG-sleutel in"]
    H -->|"NEE: Standaard zakelijke/browsergebruiker"| J["Controleer of de browsersynchronisatie (`Chrome/Edge/iCloud-sleutelhanger`) op afstand is afgemeld -> Bestand lokaal politierapport en verzoek tot behoud van café-CCTV"]
    I --> J

Deel 1: De 5 minuten durende "Kill Chain" voor een ontgrendelde gestolen laptop (platform-voor-platform-opdrachten)¶

Wanneer een laptop wordt weggerukt terwijl deze ontgrendeld is, wacht dan niet tot u naar huis loopt of een nieuwe computer koopt om de toegang in te trekken. Elk van de onderstaande kritische inperkingsacties kan rechtstreeks vanaf uw iPhone of Android-smartphone worden uitgevoerd terwijl u in de coffeeshop staat.

Stap 1: Het besturingssysteem geforceerd op afstand vergrendelen (0 to 60 seconds)¶

1. Apple MacBook (macOS):
   • Open de app Zoek mijn op uw iPhone (of log in op icloud.com/find in elke telefoonbrowser, die 2FA omzeilt, zodat u deze kunt gebruiken, zelfs als uw telefoon ook is gestolen).
   • Tik op Apparaten -> [Je MacBook] -> Markeren als verloren -> Activeren.
   • Wat als de dief de wifi onmiddellijk uitschakelt of het deksel sluit? De Mark As Lost of Erase This Device commandowachtrijen op de APNs-servers van Apple en vuurt af zodra de MacBook een Wi-Fi-netwerk (of via het Zoek mijn-netwerk) aanraakt. Als u de MacBook-klep sluit, wordt het scherm ook automatisch vergrendeld als Wachtwoord vereisen onmiddellijk na slaapstand of schermbeveiliging begint is ingeschakeld.
2. Windows 10 / Windows 11-laptop:
   • Open ** in uw telefoonbrowseraccount.microsoft.com/devices**, selecteer uw laptop en tik op Vind mijn apparaat -> Vergrendelen.
   • Als het een zakelijke Windows-laptop is die wordt beheerd door Microsoft Intune, log dan in op de Intune-bedrijfsportal (portal.manage.microsoft.com) op uw telefoon -> selecteer uw laptop -> tik op Acties -> Remote Lock of Reset toegangscode/wissen.

Stap 2: Beëindig alle cloud-Single Sign-On (SSO)- en browsersessies (1 to 3 minutes)¶

Zelfs als de dief Wi-Fi op de laptop uitschakelt om offline op uw lokale harde schijf te surfen, zullen ze uiteindelijk de laptop verbinden met een mobiele hotspot of de gegevens van uw browser kopiëren Cookies en Local Storage SQLite-bestanden naar een andere machine om uw ingelogde websessies te kapen. Ongeldig die sessietokens aan de serverzijde nu vanaf uw telefoon:

Deel 2: Wat als uw YubiKey of hardwarebeveiligingssleutel is gestolen?¶

Veel externe werknemers laten een onopvallende YubiKey 5C Nano permanent aangesloten op de USB-C-poort aan de zijkant van hun laptop, of dragen een YubiKey 5 NFC aan een koord dat samen met hun laptoptas wordt weggerukt. Er ontstaat vaak paniek: "Kan de dief mijn YubiKey gebruiken om in te loggen op al mijn accounts? En hoe kom ik bij mijn accounts zonder mijn YubiKey?"

1. Begrijpen wat een dief wel en niet kan doen met je gestolen YubiKey¶

Een moderne hardwarebeveiligingssleutel (YubiKey 5 Series, Google Titan, Token2, Nitrokey) ondersteunt vier verschillende authenticatieprotocollen, elk met een ander risicoprofiel bij fysieke diefstal:

1. FIDO2 vindbare referenties (Passkeys / Wachtwoordloos inloggen):
   • Beschermd door uw FIDO2-pincode (4 to 63 alphanumeric characters). Als een dief uw gestolen YubiKey op zijn eigen computer aansluit en probeert een wachtwoordloze FIDO2-toegangssleutel te gebruiken, heeft de YubiKey-hardwarechip uw FIDO2-pincode nodig. Na 8 opeenvolgende verkeerde pincodes, wordt de FIDO2-applet op de YubiKey permanent vergrendeld en zelfgesteend (Factory Reset Required), waarbij alle inloggegevens worden gewist.
2. FIDO U2F / WebAuthn tweede factor (Username + Password + Touch YubiKey):
   • Op de meeste websites is standaard geen pincode vereist. Als de dief alleen uw YubiKey uit uw jaszak heeft gestolen (en niet uw laptop of uw wachtwoorden heeft), is de YubiKey voor hen nutteloos omdat een U2F-sleutel niet onthult op welke websites deze is geregistreerd.
   • KRITISCH GEVAAR INDIEN GESTOLEN IN UW ONTGRENDELDE LAPTOP WORDT GESTOLEN: Als de dief uw ontgrendelde laptop heeft gestolen MET de YubiKey aan de zijkant aangesloten, levert de autofill- of wachtwoordbeheerder van uw browser al de gebruikersnaam en het wachtwoord, en hoeft de dief alleen maar met zijn vinger de gouden metalen knop op de YubiKey aan te raken om 2FA door te geven aan uw bank, AWS-rootaccount of crypto-exchange.
3. ** YubiKey OpenPGP (gpg SmartCard) & PIV (X.509 Certificaat) Applets:**
   • Beschermd door een hardware Gebruikerspincode (standaard 123456 als u deze nooit heeft gewijzigd) en Beheerderspincode (standaard 12345678) dat slot na 3 verkeerde pogingen. (Als u de OpenPGP-pincode op de fabrieksstandaard hebt gelaten 123456, ga ervan uit dat de PGP-sleutel van YubiKey is aangetast en trek deze onmiddellijk in.)
4. YubiKey statisch wachtwoord / Yubico OTP (lang, 44 tekens). ccccc... tekenreeks uitgezonden bij aanraking):
   • Als je Slot 1 of Slot 2 van je YubiKey hebt geconfigureerd om een ​​statisch wachtwoord of Yubico OTP te typen wanneer het gouden toetsenbord 1 tot 3 seconden wordt aangeraakt, kan iedereen die de sleutel vasthoudt Kladblok openen, de sleutel aanraken en die statische reeks lezen.

2. Stapsgewijs protocol om een gestolen YubiKey in 5 minuten af te melden¶

1. Pak uw back-uphardwarebeveiligingssleutel (of gebruik uw iPhone/Android-wachtwoord / Authenticator-app / back-upcodes):
   • De beste praktijk (verplicht door NIST SP 800-63B) is om altijd minstens twee fysieke beveiligingssleutels te registreren (één op uw sleutelhanger/laptop, één opgesloten in een kluis of reisbagage) plus een apparaatwachtwoord op uw smartphone.
2. Log in op uw accounts met hoge prioriteit en verwijder ALLEEN de gestolen YubiKey met zijn bijnaam:
   • Google/Gmail (myaccount.google.com/signinoptions/two-step-verification): Tik op Wachtsleutels en beveiligingssleutels -> zoek de gestolen sleutel -> tik op het Prullenbakpictogram om deze te verwijderen.
   • Microsoft / Entra-ID (mysignins.microsoft.com/security-info): Zoek de gestolen Beveiligingssleutel -> tik op Verwijderen.
   • Apple-ID (Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys): Tik op de gestolen sleutel -> Sleutel verwijderen.
   • GitHub (github.com/settings/security): Klik onder Wachtsleutels en Tweefactormethoden -> Beveiligingssleutels op Verwijderen naast de gestolen sleutel.
   • AWS-root / IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication): Selecteer de gestolen FIDO-beveiligingssleutel en klik op Verwijderen.
   • 1Wachtwoord / Bitwarden / Cloudflare / Coinbase / Kraken: Open de 2FA-instellingen van elke service en verwijder de gestolen hardwaretokenregistratie.

Deel 3: Sleutelrotatie voor ontwikkelaars, DevOps en SSH/GPG (The -/.ssh en -/.aws noodgeval)¶

Als u een software-ingenieur, DevOps/SRE-beheerder, datawetenschapper of startup-oprichter bent wiens ontgrendelde laptop is gestolen, het intrekken van browsercookies is slechts het halve werk. Een dief die uw thuismap leegmaakt, heeft toegang tot elke cryptografische sleutel en CLI-token met een lange levensduur die als platte tekst op uw SSD is opgeslagen.

Voer deze opschoning van ontwikkelaarsreferenties in 5 stappen uit vanaf een back-uptelefoon of de laptop van een teamgenoot binnen de eerste 15 minuten:

1. SSH-sleutels (-/.ssh/id_ed25519 / -/.ssh/id_rsa): Zelfs als de wachtwoordzin is beveiligd, kunt u ervan uitgaan dat er een SSH-sleutel in is geladen ssh-agent in RAM op een ontgrendelde laptop is aangetast. Ga naar github.com/settings/keys En gitlab.com/-/user_settings/ssh_keys en verwijder onmiddellijk de openbare SSH-sleutel van de laptop, en laat een teamgenoot uw openbare sleutel verwijderen -/.ssh/authorized_keys op alle productie-Linux-servers en bastion-hosts.
2. Cloud CLI-referenties (-/.aws/credentials, -/.config/gcloud, -/.azure): Open de AWS IAM Console -> Gebruikers -> [Jij] -> Beveiligingsgegevens en klik op Deactiveren / Verwijderen op alle toegangssleutels (AKIA...). Google Cloud intrekken gcloud auth OAuth-vernieuwingstokens via de pagina Verbindingen met derden van uw Google-account (Google Cloud SDK).
3. GitHub, GitLab, npm, PyPI en Docker persoonlijke toegangstokens: Ga naar github.com/settings/tokens en klik op Alles intrekken voor zowel Fine-Grained PAT's als Classic ghp_... tokens. Intrekken -/.npmrc tokens (npmjs.com) en -/.pypirc tokens.
4. ** Kubernetes (-/.kube/config) & Terraform (-/.terraform.d):** Roteer statische Kubeconfig-clientcertificaten of OIDC-tokens en trek Terraform Cloud API-tokens in (app.terraform.io).
5. GPG / PGP-ondertekeningssleutels (-/.gnupg): Publiceer uw vooraf gegenereerde GPG-intrekkingscertificaat (gpg --import revoke.asc en gpg --keyserver keys.openpgp.org --send-keys [KeyID]) en verwijder de GPG-sleutel uit GitHub.

Deel 4: Reageren op "Shoulder Surfing" (Iemand heeft je scherm gefilmd of bekeken in een café/vlucht)¶

Wat als niemand uw fysieke laptop heeft gestolen, maar terwijl u aan de poort van een luchthaven, in een vliegtuig of in een café werkt, betrapt u de persoon die achter u of op de aangrenzende stoel zit uw scherm of toetsenbord filmt met de camera van zijn smartphone (of rechtstreeks naar een open .env bestand, wachtwoordprompt of vertrouwelijke diaserie)?

1. Vergrendel uw scherm onmiddellijk met een enkele reflextoetsaanslag:
   • macOS: Druk op Cmd + Ctrl + Q (vergrendelt het scherm onmiddellijk zonder apps te sluiten).
   • Windows: Druk op Win + L.
   • Linux: Druk op Super + L of Ctrl + Alt + L.
2. Start geen fysieke woordenwisseling: Pak rustig uw laptop in, ga naar een privézitplaats met uw rug tegen een stevige muur en bekijk wat er de afgelopen 10 minuten op uw scherm zichtbaar was of op uw toetsenbord getypt.
3. Roer elk geheim dat op het scherm flitste:
   • Als u uw laptop-inlogwachtwoord of het hoofdwachtwoord van de wachtwoordbeheerder hebt getypt terwijl iemand uw vingers kon zien, wijzig dat wachtwoord dan onmiddellijk vanaf een privélocatie.
   • Als een terminalvenster .env bestand, Postman-header of cloudconsole zichtbaar was op het scherm, neem dan aan dat er een hoge resolutie is 4K smartphonecamera binnen 3 meter (10 voet) heeft een scherpe, zoombare foto van uw API-sleutels gemaakt en deze sleutels onmiddellijk gedraaid (zie onbedoeld lekken van Zoom- of Teams-schermshare).

De 6-punts "Cafe & Airport Proof" checklist voor laptopharding (vandaag ingesteld)¶

Configureer deze zes hardware- en OS-instellingen nu meteen, zodat zelfs als een dief morgen uw open laptop van een tafel grist, de laptop zichzelf vergrendelt voordat de dief de deur van het koffiehuis bereikt:

• 1. Schakel Bluetooth Proximity Auto-Lock in (Dynamic Lock op Windows / Near Lock of Apple Watch Auto-Lock op Mac):
  • Windows 11: Koppel uw iPhone of Android-telefoon via Bluetooth aan uw laptop, ga vervolgens naar Instellingen -> Accounts -> Aanmeldingsopties -> Dynamische vergrendeling en vink "Toestaan dat Windows uw apparaat automatisch vergrendelt wanneer u weg bent" aan. Zodra een dief met uw laptop 10 meter van de tafel wegrent (of u Bluetooth uitzet op uw telefoon in uw zak), vergrendelt Windows het scherm automatisch.
• 2. Stel een "Hot Corner" en een 60 seconden durende batterij-inactieve schermvergrendelingstimer in:
  • Op macOS (Systeeminstellingen -> Vergrendelscherm) en Windows (Instellingen -> Systeem -> Aan/uit en batterij -> Scherm en slaapstand) stelt u Scherm uitschakelen / Wachtwoord vereisen op batterij in op 1 of 2 minuten wanneer u in het openbaar werkt.
• 3. Configureer 1Password/Bitwarden om onmiddellijk te vergrendelen wanneer het systeem vergrendelt of na 1 minuut inactiviteit:
  • In 1Wachtwoord -> Instellingen -> Beveiliging stelt u Vergrendelen nadat de computer inactief is geweest in 1 minute, vink Vergrendelen tijdens slaap aan en schakel Touch ID/Windows Hello in, zodat u uw hoofdwachtwoord nooit met zichtbare toetsaanslagen in het openbaar typt.
• 4. Vereist een hardwareaanraking EN wachtwoordzin voor iedereen ssh en git Bediening (1Password SSH Agent of FIDO2 ed25519-sk Sleutels):
  • In plaats van onversleuteld achter te laten -/.ssh/id_ed25519 bestanden op uw harde schijf, bewaar uw SSH-sleutels in de 1Password SSH Agent (waarvoor biometrische Touch ID-goedkeuring vereist is op elke afzonderlijke git push of ssh verbinding) OF hardware-gebonden genereren ssh-keygen -t ed25519-sk -O verify-required sleutels die niet van uw YubiKey kunnen worden gekopieerd en waarvoor bij elk gebruik uw FIDO2-pincode vereist is.
• 5. Bevestig altijd een magneet 60-Degree Privacyschermfilter met micro-lamellen (3M / Kensington) in het openbaar:
  • Een magnetisch privacyscherm verduistert uw scherm tot effen zwart voor iedereen die kijkt vanuit een hoek groter dan 30 graden uit het midden, waardoor schoudersurfers in de volgende vliegtuig- of caféstoel worden verblind.
• 6. Laat een laptop nooit "slechts 30 seconden" onbeheerd achter om een kop koffie te pakken of naar het toilet te gaan:
  • Over 70 percent van de diefstallen in cafés en luchthavenlounges vindt plaats wanneer een medewerker zijn laptop 45 seconden op tafel laat liggen om een latte op te halen aan de balie of aan een vreemde vraagt "Kun je op mijn spullen letten?" Stop de laptop altijd in je tas en draag hem bij je, of lus een Kensington NanoSaver stalen kabelslot rond een vastgeschroefd tafelframe.

Regionale noodnummers en protocollen van instanties¶

Nadat u de gestolen laptop heeft vergrendeld en actieve cloudsessies heeft ingetrokken (de eerste 5 minuten), rapporteert u de fysieke diefstal aan de lokale autoriteiten en bewaart u de camerabeelden van cafés/luchthavens voordat deze worden overschreven (de meeste cafés overschrijven camerabeelden elke 24 tot 72 uur):

Verenigde Staten en Canada¶

• Noodpolitiemelding (overval / actieve verdachte in zicht): Bel 911. (Als u zich in een luchthaventerminal bevindt, neem dan onmiddellijk contact op met Luchthavenpolitie / Havenautoriteitpolitie bij het dichtstbijzijnde poortpodium, zodat agenten de dief kunnen onderscheppen voordat ze de beveiliging verlaten of in een trein stappen).
• Niet-dringend politierapport (vereist voor bedrijfsverzekeringen en creditcarddekking): Bel 311 of de lokale politie-niet-noodlijn voor een politie-incidentrapportnummer.
• Federale cyber-/bedrijfsdiefstalrapportage: Als een gestolen, ontgrendeld bedrijfsapparaat resulteert in ongeoorloofde netwerkinbraak of afpersing, meld dit dan bij het FBI Internet Crime Complaint Center (ic3.gov) en CISA (cisa.gov/report) in de VS, of het Canadian Center for Cyber Security (cyber.gc.ca) in Canada.

Verenigd Koninkrijk¶

• Noodpolitie (overval/dief nog steeds aanwezig): Bel 999.
• Niet-dringend politierapport en jurisdictie over spoorwegen/luchthavens:
  • In cafés of op straat: bel 101 (of doe online aangifte bij de plaatselijke politie) voor een Misdaadreferentienummer (CRN) onmiddellijk.
  • In treinen of in trein-/metrostations: Tekst British Transport Police (BTP) op 61016 of bel 0800 40 50 40.
• Beoordeling van gegevensinbreuk (UK GDPR): Als de laptop werd weggerukt terwijl deze ontgrendeld was en niet-gecodeerde persoonlijke gegevens van klanten of werknemers bevatte, breng dan uw functionaris voor gegevensbescherming op de hoogte (DPO) onmiddellijk om te beoordelen of een 72-uurs UK ICO-inbreukrapport (ico.org.uk) is vereist.

Europese Unie¶

• Pan-Europees alarmnummer: Bel 112 voor onmiddellijke politiehulp in alle EU-lidstaten.
• Politierapport (Procès-Verbal / Strafanzeige / Denuncia): Bezoek het dichtstbijzijnde lokale politiebureau (Commissariat de Police, Polizeiwache, Comisaría de Policía, Questura) voor een afgestempeld schriftelijk diefstalrapport en breng uw bedrijfs-DPO onmiddellijk op de hoogte op grond van AVG-artikel 33 als het apparaat ontgrendeld was op het moment van diefstal.

Australië en Nieuw-Zeeland¶

• Noodmelding: Bel 000 in Australië of 111 in Nieuw-Zeeland.
• Niet-dringende politierapport: Bel 131 444 (politielijn in Australië) of 105 (niet-dringende politie van Nieuw-Zeeland) om een politie-evenementnummer te verkrijgen en meld het compromitteren van bedrijfsreferenties via cyber.gov.au (ACSC) of CERT NZ (cert.govt.nz).

India en Azië-Pacific¶

• India: Bel 112 (noodgeval) of 100 (politie) en dien onmiddellijk een e-FIR / Lost Article Report in via het burgerportaal van de staatspolitie, zodat u over officiële documentatie beschikt voor de afschrijving van MDM-activa door bedrijven en CERT-In-naleving.
• Singapore en Japan: In Singapore belt u 999 (noodgeval) of dient u online aangifte in op de Singapore Police Force e-Services Portal (police.gov.sg). In Japan dient u zich onmiddellijk te melden bij de dichtstbijzijnde Koban (politiebox) of luchthavenpolitiepost om een Tounan-Todoke (diefstalrapportnummer) te ontvangen.

Veelgestelde vragen¶

Moet ik eerst op 'Dit apparaat wissen' (Wissen op afstand) of 'Markeren als verloren' (Vergrendelen op afstand) klikken wanneer mijn MacBook of Windows-laptop ontgrendeld wordt gestolen?¶

Activeer altijd eerst **Markeren als verloren/Vergrendelen op afstand** en wacht tot de vergrendeling is bevestigd (of coördineer dit met het IT-team van uw bedrijf) voordat u een volledige Wissen/Wissen activeert, om twee belangrijke redenen. Eerst een `Remote Lock` Het pakket is klein en wordt onmiddellijk uitgevoerd vanaf de microseconde dat het de laptop via Wi-Fi bereikt, waardoor de actieve desktopsessie wordt beëindigd en het scherm achter FileVault- of BitLocker-codering wordt vergrendeld, terwijl de mogelijkheid van de laptop behouden blijft om de GPS-/Wi-Fi-locatie terug te koppelen naar Zoek mijn. Ten tweede: als u op 'Verwijderen uit account' klikt (wat anders is dan Wissen), schakelt u per ongeluk het activeringsslot UIT, waardoor de dief de MacBook schoon kan vegen en doorverkopen. Klik nooit op 'Dit apparaat verwijderen' in Zoek mijn.

Als FileVault (Mac) of BitLocker (Windows) op mijn laptop was ingeschakeld, worden mijn bestanden dan niet beschermd, zelfs als deze worden gestolen terwijl het scherm open was?¶

Versleuteling over de volledige schijf (FileVault 2 en BitLocker) beschermt gegevens **in rust** (wanneer de laptop is uitgeschakeld, in de slaapstand staat of is vergrendeld op het pre-boot-/inlogscherm). Terwijl u echter op uw bureaublad bent ingelogd terwijl het scherm ontgrendeld is, bevindt de coderingshoofdsleutel zich in het vluchtige systeem-RAM, zodat uw besturingssysteem en apps bestanden kunnen lezen en schrijven. Als een dief uw laptop afpakt terwijl het scherm actief is en op het trackpad blijft tikken zodat het scherm nooit vergrendelt, weerhouden FileVault en BitLocker hem er niet van om uw bestanden te kopiëren. Daarom is het zo cruciaal om onmiddellijk een vergrendelingsopdracht op afstand vanaf uw telefoon te sturen en cloudsessies in te trekken in de eerste 60 seconden.

Wat als mijn iPhone EN mijn ontgrendelde MacBook allebei aan dezelfde tafel werden weggerukt: hoe vergrendel ik ze zonder mijn telefoon voor 2FA?¶

Apple heeft voor dit exacte scenario een specifieke noodbypass gebouwd: leen de telefoon van een cafémedewerker, de telefoon van een vreemde of de laptop van een collega en open **`icloud.com/find`** direct (let op de `/find` aan het einde van de URL). In tegenstelling tot de belangrijkste `icloud.com` portaal, **`icloud.com/find` Hiermee kunt u ALLEEN inloggen met uw Apple ID-e-mailadres en wachtwoord ZONDER dat u een 6-cijferige twee-factor-authenticatiecode nodig heeft**. Eenmaal binnen `icloud.com/find`, kunt u zowel uw iPhone als uw MacBook onmiddellijk in de **Verloren-modus** zetten, waarbij u beide schermen vergrendelt en Apple Pay binnen 30 seconden uitschakelt.

Kan een dief mijn SSH-privésleutels of -wachtwoorden uit een gestolen YubiKey 5C Nano halen?¶

Nee. Een echte YubiKey slaat alle FIDO2-, U2F-, PIV- en OpenPGP-privésleutels op in een fraudebestendige cryptografische Secure Element-hardwarechip (`EAL6+` gecertificeerd). Het is fysiek en wiskundig onmogelijk om een ​​privésleutel *uit* van een YubiKey naar een computer te kopiëren, exporteren of lezen. Het enige risico met een gestolen YubiKey is dat iemand die de sleutel fysiek bezit, deze kan aansluiten en de gouden knop kan aanraken om hem te *gebruiken* totdat je inlogt op je accounts (GitHub, Google, AWS, SSH `authorized_keys`) en verwijder de openbare registratie van YubiKey.

Is het veilig om mijn laptop 60 seconden op een koffietafel te laten staan om naar het toilet te gaan als ik het scherm vergrendel (Cmd+Ctrl+Q / Win+L) eerst?¶

Nee. Terwijl u uw scherm vergrendelt met `Cmd + Ctrl + Q` of `Win + L` beschermt uw digitale gegevens achter FileVault of BitLocker, het doet niets om te voorkomen dat een dief met uw de deur uitloopt `$2,500` fysieke laptop in 4 seconden. Als u een vergrendelde laptop onbeheerd op een tafel laat staan, wordt deze ook blootgesteld aan manipulatie van fysieke hardware (zoals een kwaadwillende aanvaller die een O.MG-kabel, USB Rubber Ducky of hardware keylogger in uw USB-C-poort steekt terwijl u in het toilet bent). Schuif uw laptop altijd in uw rugzak en neem hem elke keer mee naar het toilet.

Bronnen en officiële richtlijnen¶

• Nationaal Instituut voor Standaarden en Technologie (NIST, Verenigde Staten): NIST SP 800-46 Rev. 2 Gids voor zakelijk telewerken, toegang op afstand en BYOD-beveiliging (Bring Your Own Device) en NIST SP 800-63B Richtlijnen voor digitale identiteit (vereisten voor verlies en intrekking van multi-factor hardware-authenticator).
• ** Agentschap voor cyberbeveiliging en infrastructuurbeveiliging (CISA, Verenigde Staten) en het Britse National Cyber Security Center (NCSC):** Apparaten onderweg beveiligen (fysieke sessievergrendeling, Bluetooth-nabijheidsvergrendeling, beperking van schoudersurfen en protocollen voor het op afstand wissen van MDM).
• Yubico AB: Wat te doen als u uw YubiKey verliest (support.yubico.com) (FIDO2 PIN-vergrendeling met 8 pogingen, U2F Second-Factor Risk Model, OpenPGP PIN-vergrendeling met 3 pogingen en architectuur voor back-upsleutels).
• Apple Inc. en Microsoft Corporation: Apple Platform-beveiligingshandleiding (FileVault Volume Encryption, T2 / Apple Silicon Secure Enclave en icloud.com/find No-2FA Lost Mode Architecture) en Microsoft Windows 11 BitLocker DMA-bescherming en dynamische vergrendeling technische documentatie.
• Europese Raad voor gegevensbescherming (EDPB): Richtlijnen 9/2022 voor het melden van inbreuken op persoonsgegevens onder de AVG (onderscheid tussen diefstal van vergrendelde apparaten die in rust zijn gecodeerd en diefstal van ontgrendelde apparaten met actieve sessie).

Gerelateerde handleidingen¶

• Werklaptop gestolen of kapot tijdens het reizen: MDM-vergrendeling en herstel zonder downtime
• Het per ongeluk wegvallen van de productiedatabase, een geheim lek van Git en het beoordelen van incidenten
• Beveiliging van werken op afstand in noodgevallen en gegevensprivacy
• Op afstand werken vanuit een hotel of tijdelijke ruimte
• Overval en overval overleven
• Noodnummers