Varnostni ključ prenosnika ali strojne opreme ukraden v kavarni ali letališkem salonu: takojšnja uničitev seje¶

Če vam prenosnik ugrabijo z mize v kavarni, coworking mize ali sedeža v letališkem salonu, medtem ko je zaslon buden in odklenjen, ali ugotovite, da je tat odšel s torbo vašega prenosnika, medtem ko je vaš strojni varnostni ključ FIDO2 (YubiKey) je bil še vedno priključen na vrata USB-C, je najslabši možni nujni primer med fizično-digitalno varnostjo, s katerim se lahko sreča delavec na daljavo ali programski inženir. Za razliko od izklopljenega prenosnika, ukradenega iz hotelske sobe (kjer šifriranje celotnega diska, kot je FileVault ali BitLocker, ohranja pogon zaklenjen), odklenjen topel prenosnik preda tatu vaš dešifriran RAM, odklenjen upravitelj gesel (1Password / Bitwarden), aktivni piškotki za preverjanje pristnosti brskalnika, aktivni AWS / GCP / Azure Poverilnice CLI in nešifrirane -/.ssh zasebni ključi na srebrnem pladnju.

Če je grabljenje in grabljenje vključevalo fizični napad, rop ali grožnje z orožjem, se takoj pomaknite na varno lokacijo in pokličite lokalno številko za klic v sili (911 v Združenih državah in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu; glejte številke za klic v sili) in preglejte naše preživetje ropov in ropov vodnik. Nikoli ne lovite oboroženega ali bežečega tatu prenosnika na ulico ali v vozilo. Namesto tega izvlecite pametni telefon iz žepa v prvih 60 sekundah in med navzkrižnim sklicevanjem izvedite točno to zaporedje zaustavitve seje in zaklepanja strojne opreme službeni prenosni računalnik, ukraden ali pokvarjen med potovanjem: zaklepanje MDM in obnovitev brez izpadov, nenamerni padec produkcijske baze podatkov, uhajanje skrivnosti git in triaža incidentov, in varnost dela na daljavo v sili in zasebnost podatkov.

Naredi to zdaj¶

1. NE PREGONITE lopova; izvlecite pametni telefon v 15 sekundah in sprožite zaklepanje strojne opreme na daljavo (Find My / Find My Device / Corporate MDM) PREDEN tat pospravi prenosni računalnik v torbo Faraday ali izklopi Wi-Fi. Ko tat z mize v kavarni pograbi odprt prenosni računalnik, ostane prenosnik prvi čas povezan z omrežjem Wi-Fi v kavarni (ali dostopno točko vašega telefona). 30 to 90 seconds ko tečejo po bloku:
   • MacBook (iPhone Find My App): Odprite Poišči moje -> Naprave -> [Vaš MacBook] -> Označi kot izgubljeno (Activate) in vnesite 4- do 6-mestno kodo PIN za zaklepanje. V trenutku, ko ta ukaz zadene MacBook prek Wi-Fi-ja, macOS prekine aktivno uporabniško sejo, vsili zaklenjen zaslon vdelane programske opreme/OS in za ponoven vnos zahteva šifrirne poverilnice FileVault.
   • Prenosni računalnik Windows 11: V brskalniku telefona odprite account.microsoft.com/devices -> izberite prenosni računalnik -> tapnite Poišči mojo napravo -> Zakleni.
2. Če je bil vaš prenosni računalnik povezan z osebno dostopno točko vašega pametnega telefona, NE izklopite vaše dostopne točke prvih 60 sekund, DOKLER ne kliknete »Označi kot izgubljeno/Oddaljeno zaklepanje«, nato pa jo takoj zatem prekinite. Če je tat še vedno znotraj 15 metrov (50 čevljev) od vas zunaj kavarne, je lahko aktivna dostopna točka Wi-Fi vašega telefona edina internetna povezava, ki zagotavlja vašo Mark As Lost ukaz kill odprtemu prenosniku. Počakajte 30 sekund, da se ukaz za zaklepanje odda, nato preklopite med Personal Hotspot OFF in Bluetooth OFF (kar sproži tudi dinamično zaklepanje macOS/Windows, če je seznanjeno).
3. Po telefonu pokličite službo za IT varnost / SOC (0 to 3 minutes), da sprožite preklic globalne seje IdP (Okta / Microsoft Entra ID / Google Workspace) IN MDM Remote Wipe (Jamf / Intune / Kandji). Tudi če tat ohranja zaslon prenosnika budnega z drsenjem po sledilni ploščici in izklopi Wi-Fi, preklic vaših žetonov za osvežitev in dostop do enotne prijave (SSO) na strežniku v oblaku zagotavlja, da je vsaka spletna seja podjetja že mrtva (401 Unauthorized).
4. Če vaš upravitelj gesel (1Password, Bitwarden, LastPass, Dashlane, Apple Passwords) je bil odklenjen na prenosnem računalniku, nemudoma DEAVTORIZIRAJTE ukradeno napravo iz vaše telefonske aplikacije. Odprite 1Password ali Bitwarden na svojem mobilnem telefonu, pojdite na Upravljanje računa / Spletni trezor -> Aktivne seje / Pooblaščene naprave in kliknite Razveljavi avtorizacijo / Prekliči na ukradenem prenosniku, nato zavrtite glavno geslo, če je obstajala varnostna kopija v čistem besedilu.
5. Če je varnostni ključ strojne opreme (YubiKey 5C Nano / Titan Key) ostal priključen na vrata USB prenosnega računalnika (ali pritrjen na ukradeni obesek za ključe), se prijavite v svoje račune iz telefona z rezervnim ključem ali geslom in IZBRIŠITE to specifično poverilnico FIDO2. Medtem ko strojni ključ FIDO2 zahteva FIDO2 PIN (4 to 63 characters) za brez gesla resident-key prijave, kadar se uporablja kot drugi faktor (U2F / WebAuthn non-discoverable) na prenosnem računalniku, kjer je vaš brskalnik že shranil vaše uporabniško ime in geslo, vsakdo, ki se dotakne zlatega kapacitivnega kontakta na ključu YubiKey, prestane 2FA brez kode PIN.
6. Prekličite in zavrtite vse poverilnice lokalnega razvijalca, shranjene v domači mapi (-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env datoteke in žetone za osebni dostop GitHub/GitLab). Tudi če je SSO v oblaku uničen, ima napadalec, ki ohranja odklenjen prenosnik buden, neobdelan dostop do datotečnega sistema do vsakega nešifriranega ključa SSH in žetona API v oblaku, ki se nahaja v zgodovini vašega terminala (-/.zsh_history / -/.bash_history).

Odločitveno drevo: ugrabitev odklenjenega prenosnika v primerjavi s krajo varnostnega ključa strojne opreme v primerjavi z brskanjem po rami¶

Upoštevajte ta diagram poteka hitre triaže v prvih 15 minutah po kavarni, coworking prostoru ali varnostnem incidentu na letališču.

flowchart TD
    A["Nujna varnost javnega delovnega prostora (kavarna, coworking prostor, letališki salon, vlak)"] --> B{"Kaj točno se je zgodilo?"}
    B -->|"Prenosnik je bil ugrabljen, ko je bil ODKLEN/ODPRT"| C["0-60s: V telefonu sprožite Apple Find My 'Mark As Lost' ali Microsoft 'Lock Device' -> Pokličite Corporate IT SOC za MDM Lock/Wipe + Global SSO Session Kill"]
    B -->|"Prenosni računalnik je bil ukraden, ko je bil zaklenjen/pokrov zaprt/izklopljen"| D["FileVault / BitLocker ščiti disk v mirovanju -> Sproži Find My / MDM Remote Wipe -> Zavrti geslo SSO in prekliči aktivne seje v oblaku"]
    B -->|"Strojni varnostni ključ (YubiKey) ukraden (sam ali priključen na prenosni računalnik)"| E["Prijavite se v IdP (Okta/Entra/Google), GitHub, AWS in Password Manager iz telefona z uporabo rezervnega ključa/gesla -> Izbrišite ukradeno registracijo YubiKey"]
    B -->|"Deskanje z ramo / nekdo je posnel vaš zaslon ali tipkovnico"| F["Takoj zakleni zaslon (Cmd+Ctrl+Q / Win+L) -> Premakni se v zasebno območje -> Zavrti določeno vneseno geslo/PIN + vse tipke API, vidne na zaslonu"]
    C --> G["Deavtorizirajte ukradeni prenosnik znotraj 1Password / Bitwarden Web Vault -> Prekinite vse spletne seje Google / Microsoft / Okta / Slack / GitHub"]
    E --> G
    G --> H{"Ali je prenosnik imel lokalne razvijalske ključe (home .ssh, .aws, .gnupg, Git PAT, žetone Docker/K8s)?"}
    H -->|"DA: inženir/skrbnik/ustanovitelj prenosni računalnik"| I["Izbrišite javne ključe .ssh iz GitHub/GitLab in produkcijskih strežnikov (`authorized_keys`) -> Deaktivirajte ključe AWS IAM v konzoli -> Preklic ključa GPG"]
    H -->|"NE: Standardni poslovni/uporabnik brskalnika"| J["Preverite, ali je sinhronizacija brskalnika (»Chrome/Edge/iCloud Keychain«) odjavljena na daljavo -> Podajanje lokalnega policijskega poročila in zahteve za ohranitev CCTV v kavarni"]
    I --> J

1. del: 5-minutna "veriga ubijanja" za odklenjen ukradeni prenosnik (ukazi od platforme do platforme)¶

Ko vam ugrabijo prenosni računalnik, ko je odklenjen, ne čakajte, da odidete domov ali kupite nov računalnik, da začnete preklicati dostop. Vsako od spodnjih kritičnih zadrževalnih dejanj je mogoče izvesti neposredno iz pametnega telefona iPhone ali Android, ko stojite v kavarni.

1. korak: prisilno zaklenite operacijski sistem na daljavo (0 to 60 seconds)¶

1. Apple MacBook (macOS):
   • Odprite aplikacijo Find My na svojem iPhoneu (ali se prijavite v icloud.com/find v katerem koli brskalniku telefona, ki zaobide 2FA, tako da ga lahko uporabljate, tudi če je bil vaš telefon tudi ukraden).
   • Tapnite Naprave -> [Vaš MacBook] -> Označi kot izgubljeno -> Aktiviraj.
   • Kaj če bi tat takoj izklopil Wi-Fi ali zaprl pokrov? The Mark As Lost oz Erase This Device postavi ukaz v čakalno vrsto na Applovih strežnikih APN in sproži delček sekunde, ko se MacBook naslednjič dotakne katerega koli omrežja Wi-Fi (ali prek omrežja Find My). Zapiranje pokrova MacBooka samodejno zaklene tudi zaslon, če je omogočeno Zahtevaj geslo takoj po začetku spanja ali ohranjevalnika zaslona.
2. Windows 10 / Windows 11 prenosni računalnik:
   • V brskalniku telefona odprite account.microsoft.com/devices, izberite prenosni računalnik in tapnite Poišči mojo napravo -> Zakleni.
   • Če gre za prenosni računalnik podjetja Windows, ki ga upravlja Microsoft Intune, se prijavite v Intune Company Portal (portal.manage.microsoft.com) v telefonu -> izberite prenosni računalnik -> tapnite Dejanja -> Zaklepanje na daljavo ali Ponastavi geslo / Brisanje.

2. korak: Prekinite vse enotne prijave v oblaku (SSO) in seje brskalnika (1 to 3 minutes)¶

Tudi če tat onemogoči Wi-Fi na prenosniku za brskanje po vašem lokalnem trdem disku brez povezave, bo sčasoma povezal prenosnik z mobilno dostopno točko ali kopiral vaš brskalnik Cookies in Local Storage Datoteke SQLite na drug računalnik, da ugrabijo vaše prijavljene spletne seje. Razveljavite te žetone seje na strani strežnika takoj v telefonu:

2. del: Kaj pa, če je bil vaš YubiKey ali strojni varnostni ključ ukraden?¶

Mnogi delavci na daljavo pustijo nizkoprofilni YubiKey 5C Nano trajno priključen na stranska vrata USB-C svojega prenosnika ali nosijo YubiKey 5 NFC na vrvici, ki jo pograbijo skupaj s torbo za prenosnik. Pogosto nastopi panika: "Ali lahko tat uporabi moj YubiKey za prijavo v vse moje račune? In kako pridem do svojih računov brez mojega YubiKey?"

1. Razumevanje, kaj LAHKO in NE SME narediti tat z vašim ukradenim ključem YubiKey¶

Sodoben strojni varnostni ključ (YubiKey 5 Series, Google Titan, Token2, Nitrokey) podpira štiri različne protokole za preverjanje pristnosti, vsak z drugačnim profilom tveganja ob fizični kraji:

1. Odkrite poverilnice FIDO2 (Passkeys / Prijava brez gesla):
   • Zaščiteno z vašo kodo PIN FIDO2 (4 to 63 alphanumeric characters). Če tat vtakne vaš ukradeni ključ YubiKey v svoj računalnik in poskuša uporabiti geslo FIDO2 brez gesla, strojni čip YubiKey zahteva vaš PIN FIDO2. Po 8 zaporednih napačnih ugibanjih PIN-a se programček FIDO2 na ključu YubiKey trajno zaklene in samozaklene (Factory Reset Required), brisanje vseh poverilnic.
2. FIDO U2F / WebAuthn Second-Factor (Username + Password + Touch YubiKey):
   • Na večini spletnih mest PRIVZETO NI ZAHTEVAN PIN. Če je tat samo ukradel vaš YubiKey iz žepa vašega plašča (in nima vašega prenosnika ali vaših gesel), je YubiKey zanj neuporaben, ker ključ U2F ne razkrije, na katerih spletnih mestih je registriran.
   • KRITIČNA NEVARNOST, ČE JE UKRADEN PRIKLJUČEN V VAŠ ODKLEN PRENOSNI RAČUNALNIK: Če je tat ukradel vaš odklenjen prenosni računalnik S ključem YubiKey, priključenim ob strani, samodejno izpolnjevanje ali upravitelj gesel vašega brskalnika že posreduje uporabniško ime in geslo, tat pa se mora samo s prstom dotakniti zlatega kovinskega gumba na ključu YubiKey, da posreduje 2FA v vaša banka, korenski račun AWS ali kripto borza.
3. YubiKey OpenPGP (gpg pametna kartica) & PIV (X.509 Certifikat) Programčki:
   • Zaščiteno s strojno Uporabniško kodo PIN (privzeto 123456 če je niste nikoli spremenili) in PIN skrbnika (privzeto 12345678) ki se zaklene po 3 napačnih poskusih. (Če ste PIN OpenPGP pustili na tovarniško privzeti vrednosti 123456, domnevajte, da je ključ PGP na tem YubiKey ogrožen in ga takoj prekličite.)
4. Statično geslo YubiKey / Yubico OTP (dolgo 44 znakov ccccc... niz, ki se oddaja ob dotiku):
   • Če ste konfigurirali režo 1 ali režo 2 vašega YubiKeyja za vnos statičnega gesla ali Yubico OTP vsakič, ko se za 1 do 3 sekunde dotaknete zlate ploščice, lahko vsak, ki ima ključ, odpre Beležnico, se dotakne tipke in prebere ta statični niz.

2. Protokol po korakih za odjavo ukradenega ključa YubiKey v 5 minutah¶

1. Vzemite rezervni strojni varnostni ključ (ali uporabite geslo za iPhone/Android/aplikacijo Authenticator/rezervne kode):
   • Najboljša praksa (ki jo zahteva NIST SP 800-63B) je, da vedno registrirate vsaj dva fizična varnostna ključa (enega na obesku za ključe/prenosnem računalniku, enega zaklenjenega v sefu ali potovalni prtljagi) in geslo naprave na vašem pametnem telefonu.
2. Prijavite se v svoje račune z visoko prioriteto in izbrišite SAMO ukradeni YubiKey po vzdevku:
   • Google/Gmail (myaccount.google.com/signinoptions/two-step-verification): Tapnite Gesla in varnostni ključi -> poiščite ukradeni ključ -> tapnite ikono smetnjaka, da ga odstranite.
   • Microsoft / Entra ID (mysignins.microsoft.com/security-info): Poiščite ukraden Varnostni ključ -> tapnite Izbriši.
   • Apple ID (Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys): Dotaknite se ukradenega ključa -> Odstrani ključ.
   • GitHub (github.com/settings/security): Pod Gesla in Dvofaktorske metode -> Varnostni ključi kliknite Izbriši poleg ukradenega ključa.
   • AWS Root / IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication): Izberite ukradeni varnostni ključ FIDO in kliknite Odstrani.
   • 1Password / Bitwarden / Cloudflare / Coinbase / Kraken: Odprite nastavitve 2FA vsake storitve in izbrišite registracijo ukradenega žetona strojne opreme.

3. del: Rotacija ključev za razvijalce, DevOps in SSH/GPG (The -/.ssh in -/.aws nujno)¶

Če ste programski inženir, skrbnik DevOps/SRE, podatkovni znanstvenik ali ustanovitelj startupa, ki so mu ukradli odklenjen prenosnik, je preklic piškotkov brskalnika le polovica bitke. Tat, ki odloži vaš domači imenik, ima dostop do vseh dolgotrajnih kriptografskih ključev in žetonov CLI, ki so shranjeni kot navadno besedilo na vašem SSD.

Izvedite to 5-stopenjsko čiščenje poverilnic razvijalca iz rezervnega telefona ali prenosnika soigralca v prvih 15 minutah:

1. Ključi SSH (-/.ssh/id_ed25519 / -/.ssh/id_rsa): Tudi če je zaščiteno z geslom, predvidevamo, da je naložen kateri koli ključ SSH ssh-agent v RAM-u na odklenjenem prenosniku je ogrožen. Pojdi na github.com/settings/keys in gitlab.com/-/user_settings/ssh_keys in takoj izbrišite javni ključ SSH prenosnega računalnika, soigralec pa naj odstrani vaš javni ključ -/.ssh/authorized_keys na vseh produkcijskih strežnikih Linux in bastion gostiteljih.
2. Poverilnice CLI v oblaku (-/.aws/credentials, -/.config/gcloud, -/.azure): Odprite Konzolo AWS IAM -> Uporabniki -> [Vi] -> Varnostne poverilnice in kliknite Deaktiviraj/Izbriši na vseh ključih za dostop (AKIA...). Prekliči Google Cloud gcloud auth Žetoni za osvežitev OAuth prek strani s povezavami tretjih oseb vašega Google Računa (Google Cloud SDK).
3. Žetoni za osebni dostop GitHub, GitLab, npm, PyPI in Docker: Pojdite na github.com/settings/tokens in kliknite Prekliči vse na Fine-Grained PAT in Classic ghp_... žetoni. Prekliči -/.npmrc žetoni (npmjs.com) in -/.pypirc žetoni.
4. Kubernetes (-/.kube/config) & Terraform (-/.terraform.d): Rotirajte statična potrdila odjemalca Kubeconfig ali žetone OIDC in prekličite žetone Terraform Cloud API (app.terraform.io).
5. Ključi za podpisovanje GPG / PGP (-/.gnupg): Objavite svoje vnaprej ustvarjeno potrdilo o preklicu GPG (gpg --import revoke.asc in gpg --keyserver keys.openpgp.org --send-keys [KeyID]) in izbrišite ključ GPG iz GitHub.

4. del: Odziv na "Deskanje z ramo" (nekdo je posnel ali gledal vaš zaslon v kavarni/na letalu)¶

Kaj pa, če nihče ne bi ukradel vašega fizičnega prenosnika, vendar med delom na letaliških vratih, na letalu ali v kavarni ujamete osebo, ki sedi za vami ali na sosednjem sedežu, kako snema vaš zaslon ali tipkovnico s kamero svojega pametnega telefona (ali strmi neposredno v odprto .env datoteko, poziv za geslo ali zaupni diapozitiv)?

1. Zaklenite zaslon v trenutku z enim refleksnim pritiskom na tipko:
   • macOS: Pritisnite Cmd + Ctrl + Q (takoj zaklene zaslon brez zapiranja aplikacij).
   • Windows: Pritisnite Win + L.
   • Linux: Pritisnite Super + L ali Ctrl + Alt + L.
2. Ne začenjajte fizičnega prepira: Mirno spakirajte svoj prenosni računalnik, se premaknite na zasebni sedež s hrbtom ob trdni steni in preglejte, kaj je bilo vidno na vašem zaslonu ali tipkano na vaši tipkovnici v zadnjih 10 minutah.
3. Zavrti vsako skrivnost, ki je utripala na zaslonu:
   • Če ste vnesli svoje geslo za prijavo v prenosni računalnik ali glavno geslo za upravitelja gesel, medtem ko je nekdo videl vaše prste, to geslo takoj spremenite z zasebne lokacije.
   • Če terminalsko okno, .env datoteka, glava Postman ali konzola v oblaku vidna na zaslonu, predpostavimo visoko ločljivost 4K kamera pametnega telefona v razdalji 3 metrov (10 čevljev) posnela ostro fotografijo vaših ključev API z možnostjo povečave in te ključe takoj zavrtela (glejte nenamerno uhajanje skupne rabe zaslona Zoom ali Teams).

6-točkovni kontrolni seznam za utrjevanje prenosnega računalnika "Cafe & Airport Proof" (nastavite danes)¶

Takoj zdaj konfigurirajte teh šest nastavitev strojne opreme in operacijskega sistema, tako da se tudi če tat jutri z mize ukrade vaš odprt prenosnik, prenosnik sam zaklene, preden tat doseže vrata kavarne:

• 1. Omogoči samodejno zaklepanje bližine Bluetooth (Dynamic Lock v sistemu Windows / Near Lock ali Apple Watch Auto-Lock na Macu):
  • Windows 11: Združite telefon iPhone ali Android s prenosnikom prek povezave Bluetooth, nato pojdite na Nastavitve -> Računi -> Možnosti prijave -> Dinamično zaklepanje in označite »Dovoli sistemu Windows, da samodejno zaklene vašo napravo, ko ste odsotni«. Takoj, ko tat pobegne 10 metrov (33 čevljev) stran od mize z vašim prenosnikom (ali izklopite Bluetooth na telefonu v žepu), Windows samodejno zaklene zaslon.
• 2. Nastavite "Hot Corner" in 60-sekundni časovnik za zaklepanje zaslona v mirovanju baterije:
  • V sistemih macOS (Sistemske nastavitve -> Zaklenjeni zaslon) in Windows (Nastavitve -> Sistem -> Napajanje in baterija -> Zaslon in spanje) nastavite Izklop zaslona / Zahtevaj geslo pri bateriji na 1 ali 2 minuti, ko delate v javnosti.
• 3. Konfigurirajte 1Password / Bitwarden za takojšnje zaklepanje, ko se sistem zaklene ali po 1 minuti mirovanja:
  • V 1Geslo -> Nastavitve -> Varnost nastavite Zaklepanje po nedejavnosti računalnika 1 minute, označite Zakleni v stanju pripravljenosti in omogočite Touch ID / Windows Hello, tako da svojega glavnega gesla nikoli ne vnesete z vidnimi pritiski na tipke v javnosti.
• 4. Zahtevajte dotik strojne opreme IN geslo za vsako ssh in git Delovanje (1Password SSH Agent oz FIDO2 ed25519-sk Ključi):
  • Namesto da bi pustili nešifrirano -/.ssh/id_ed25519 datotek na vašem trdem disku, shranite svoje ključe SSH znotraj 1Password SSH Agent (ki zahteva biometrično odobritev Touch ID-ja za vsako posamezno git push oz ssh povezava) ALI ustvari strojno vezano ssh-keygen -t ed25519-sk -O verify-required ključev, ki jih ni mogoče kopirati z vašega YubiKey in zahtevajo vaš FIDO2 PIN ob vsaki uporabi.
• 5. Vedno pritrdite magnet 60-Degree Zaslonski filter za zasebnost Micro-Louver (3M / Kensington) v javnosti:
  • Magnetni zaslon za zasebnost zatemni vaš zaslon v trdno črno za vse, ki gledajo pod kotom, večjim od 30 stopinj iz središča, in zaslepi deskarje na sosednjem letalu ali v kavarni.
• 6. Nikoli ne puščajte prenosnega računalnika brez nadzora za "samo 30 sekund", da bi vzeli kavo ali uporabili stranišče:
  • konec 70 percent Do tatvin v kavarnah in letaliških salonih pride, ko delavec pusti svoj prenosni računalnik na mizi za 45 sekund, da bi vzel kavo z mlekom pri pultu, ali vpraša neznanca "Ali lahko gledaš moje stvari?" Vedno zapakiraj prenosni računalnik v torbo in ga nosi s seboj, ali zanko Kensington NanoSaver Steel Cable Lock zaprite okoli okvirja mize.

Regionalne številke za klic v sili in protokoli agencije¶

Ko zaklenete ukradeni prenosni računalnik in prekličete aktivne seje v oblaku (prvih 5 minut), prijavite fizično krajo lokalnim oblastem in shranite posnetke CCTV iz kavarne/letališča, preden se prepišejo (večina kavarn prepiše CCTV vsakih 24 do 72 ur):

ZDA in Kanada¶

• Policija za nujne primere (rop/aktivni osumljenec na vidiku): Pokličite 911. (Če se nahajate na letališkem terminalu, takoj kontaktirajte letališko policijo/policijo pristaniške uprave pri najbližjem govornem podiju, da lahko policisti prestrežejo tatu, preden zapusti varnostno službo ali se vkrca na vlak).
• Nenujno policijsko poročilo (potrebno za korporativno zavarovanje in kritje kreditne kartice): Pokličite 311 ali lokalno mestno policijsko linijo za nenujne primere, da dobite Policijsko številko poročila o incidentu.
• Zvezna prijava kibernetske/korporacijske kraje: Če ukradena odklenjena korporativna naprava povzroči nepooblaščen vdor v omrežje ali izsiljevanje, prijavite FBI-jevemu centru za pritožbe glede internetnega kriminala (ic3.gov) in CISA (cisa.gov/report) v ZDA ali Kanadski center za kibernetsko varnost (cyber.gc.ca) v Kanadi.

Združeno kraljestvo¶

• Policija za nujne primere (rop/tat še vedno prisoten): Pokličite 999.
• Policijsko poročilo, ki ni nujno, in pristojnost železnice/letališča:
  • V kavarnah ali na ulicah: pokličite 101 (ali vložite spletno datoteko pri lokalni policiji), da dobite Referenčno številko kaznivega dejanja (CRN) takoj.
  • Na vlakih ali znotraj železniških/podzemnih postaj: Besedilo Britanska prometna policija (BTP) na 61016 ali pokličite 0800 40 50 40.
• Ocena kršitve podatkov (UK GDPR): Če je bil prenosni računalnik ugrabljen, ko je bil odklenjen in je vseboval nešifrirane osebne podatke strank ali zaposlenih, obvestite svojega pooblaščenca za varstvo podatkov (DPO), da takoj oceni, ali je 72-urno poročilo o kršitvi ICO v Združenem kraljestvu (ico.org.uk) je obvezno.

Evropska unija¶

• Vseevropska številka za klic v sili: Pokličite 112 za takojšnjo policijsko pomoč v vseh državah članicah EU.
• Policijsko poročilo (Procès-Verbal / Strafanzeige / Denuncia): Obiščite najbližjo lokalno policijsko postajo (Commissariat de Police, Polizeiwache, Comisaría de Policía, Questura), da dobite ožigosano pisno poročilo o kraji, in takoj obvestite svojega DPO v skladu s 33. členom GDPR, če je bila naprava v trenutku kraje odklenjena.

Avstralija in Nova Zelandija¶

• Pošiljanje v sili: Pokličite 000 v Avstraliji ali 111 na Novi Zelandiji.
• Policijsko poročilo, ki ni nujno: Pokličite 131 444 (Linija za pomoč policiji v Avstraliji) ali 105 (Policija Nove Zelandije ni nujno), da dobite številko policijskega dogodka, in prijavite ogroženost poverilnice podjetja prek cyber.gov.au (ACSC) ali CERT NZ (cert.govt.nz).

Indija in Azija-Pacifik¶

• Indija: Pokličite 112 (nujni primer) ali 100 (policija) in vložite takojšnjo e-FIR/poročilo o izgubljenem artiklu prek portala za državljane državne policije, da boste imeli uradno dokumentacijo za odpis sredstev podjetja MDM in skladnost s CERT-In.
• Singapur in Japonska: V Singapurju pokličite 999 (nujni primer) ali vložite spletno poročilo na portalu e-storitev singapurske policije (police.gov.sg). Na Japonskem se nemudoma oglasite na najbližji Koban (policijski predalnik) ali postaji letališke policije, da prejmete Tounan-Todoke (številko prijave kraje).

Pogosta vprašanja¶

Ali naj najprej kliknem »Izbriši to napravo« (oddaljeno brisanje) ali »Označi kot izgubljeno« (daljinsko zaklepanje), ko mi ukradejo prenosni računalnik MacBook ali Windows, ki je odklenjen?¶

Vedno sprožite **NAJPREJ Označi kot izgubljeno/Oddaljeno zaklepanje** in počakajte, da je zaklepanje potrjeno (ali se uskladite z ekipo za IT v podjetju), preden sprožite popolno brisanje/brisanje iz dveh pomembnih razlogov. Prvič, a `Remote Lock` Paket je majhen in se izvede takoj v mikrosekundi, ko doseže prenosnik prek Wi-Fi-ja, prekine aktivno sejo namizja in zaklene zaslon za šifriranjem FileVault ali BitLocker, hkrati pa ohrani zmožnost prenosnika, da svojo lokacijo GPS/Wi-Fi prikaže nazaj funkciji Find My. Drugič, če kliknete »Odstrani iz računa« (kar se razlikuje od možnosti Izbriši), pomotoma IZKLOPITE aktivacijsko zaklepanje, s čimer omogočite tatu, da pobriše in ponovno proda MacBook. Nikoli ne kliknite »Odstrani to napravo« iz Find My.

Če je imel moj prenosnik vklopljen FileVault (Mac) ali BitLocker (Windows), ali to ne ščiti mojih datotek, tudi če so bile ukradene, ko je bil zaslon odprt?¶

Šifriranje celotnega diska (FileVault 2 in BitLocker) ščiti podatke **v mirovanju** (ko je prenosnik izklopljen, v stanju mirovanja ali zaklenjen na zaslonu pred zagonom/prijavo). Medtem ko ste prijavljeni v namizje z odklenjenim zaslonom, glavni ključ šifriranja leži v hlapnem sistemskem RAM-u, tako da lahko vaš operacijski sistem in aplikacije berejo in pišejo datoteke. Če tat ugrabi vaš prenosnik, medtem ko je zaslon v stanju pripravljenosti, in nenehno tapka po sledilni ploščici, tako da se zaslon nikoli ne zaklene, mu FileVault in BitLocker ne preprečita kopiranja vaših datotek, zato je pošiljanje takojšnjega daljinskega ukaza za zaklepanje iz vašega telefona in preklic sej v oblaku v prvih 60 sekundah tako kritičen.

Kaj pa, če bi moj iPhone IN moj odklenjeni MacBook ugrabili skupaj za isto mizo: kako ju zaklenem brez telefona za 2FA?¶

Apple je zgradil poseben obvod v sili za natančen ta scenarij: izposodite si telefon uslužbenca v kavarni, telefon tujca ali prenosni računalnik sodelavca in odprite **`icloud.com/find`** neposredno (upoštevajte `/find` na koncu URL-ja). Za razliko od glavnega `icloud.com` portal, **`icloud.com/find` vam omogoča, da se prijavite SAMO z e-poštnim naslovom in geslom za Apple ID, BREZ potrebe po 6-mestni dvofaktorski kodi za preverjanje pristnosti**. Ko sem noter `icloud.com/find`, lahko iPhone in MacBook takoj preklopite v **Lost Mode**, zaklenete oba zaslona in onemogočite Apple Pay v manj kot 30 sekundah.

Ali lahko tat pridobi moje zasebne ključe SSH ali gesla iz ukradenega YubiKey 5C Nano?¶

Ne. Pristen YubiKey shranjuje vse zasebne ključe FIDO2, U2F, PIV in OpenPGP v kriptografskem strojnem čipu Secure Element, odpornem proti posegom (`EAL6+` certificiran). Fizično in matematično je nemogoče kopirati, izvoziti ali prebrati zasebni ključ *iz* YubiKeya v računalnik. Edino tveganje pri ukradenem ključu YubiKey je, da ga lahko nekdo, ki fizično poseduje ključ, priključi in se dotakne zlatega gumba, da ga *uporabi*, dokler se ne prijavite v svoje račune (GitHub, Google, AWS, SSH). `authorized_keys`) in izbrišite to javno registracijo YubiKey.

Ali je varno pustiti prenosni računalnik na mizi v kavarni za 60 sekund, da lahko uporabim stranišče, če zaklenem zaslon (Cmd+Ctrl+Q / Win+L) najprej?¶

Ne. Med zaklepanjem zaslona z `Cmd + Ctrl + Q` oz `Win + L` ščiti vaše digitalne podatke za FileVault ali BitLocker, nič ne prepreči, da bi tatu odšel skozi vrata z vašim `$2,500` fizičnega prenosnika v 4 sekundah. Če zaklenjen prenosni računalnik pustite brez nadzora na mizi, ga izpostavite tudi fizičnim posegom v strojno opremo (kot je na primer zlonamerni napadalec, ki vstavi kabel O.MG, USB Rubber Ducky ali strojni keylogger v vaša vrata USB-C, ko ste na stranišču). Prenosnik vedno pospravite v nahrbtnik in ga vsakič odnesite s seboj na stranišče.

Viri in uradna navodila¶

• Nacionalni inštitut za standarde in tehnologijo (NIST, Združene države): NIST SP 800-46 Rev. 2 Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security in NIST SP 800-63B Digital Identity Guidelines (Multi-Factor Hardware Authenticator Loss and Revocation Requirements).
• Agencija za kibernetsko varnost in varnost infrastrukture (CISA, Združene države) in nacionalni center za kibernetsko varnost Združenega kraljestva (NCSC): Zaščita naprav na poti (zaklepanje fizične seje, zaklepanje bližine Bluetooth, ublažitev brisanja prek rame in protokoli brisanja na daljavo MDM).
• Yubico AB: Kaj storiti, če izgubite svoj YubiKey (support.yubico.com) (8-poskusno zaklepanje PIN-a FIDO2, model tveganja drugega faktorja U2F, 3-poskusno zaklepanje PIN-a OpenPGP in arhitektura rezervnega ključa).
• Apple Inc. & Microsoft Corporation: Apple Platform Security Guide (FileVault Volume Encryption, T2 / Apple Silicon Secure Enclave in icloud.com/find No-2FA Lost Mode Architecture) in Microsoft Windows 11 BitLocker DMA Protection & Dynamic Lock Tehnična dokumentacija.
• Evropski odbor za varstvo podatkov (EDPB): Smernice 9/2022 o obveščanju o kršitvah varstva osebnih podatkov v skladu z GDPR (razločevanje kraje zaklenjene naprave v stanju mirovanja in kraje odklenjene naprave z aktivno sejo).

Sorodni vodniki¶

• Službeni prenosni računalnik je bil ukraden ali pokvarjen med potovanjem: zaklepanje MDM in obnovitev brez izpadov
• Nenamerni padec produkcijske baze podatkov, uhajanje skrivnosti git in triaža incidentov
• Varnost dela na daljavo v sili in zasebnost podatkov
• Delo na daljavo iz hotela ali začasnega prostora
• Preživetje ropov in ropov
• Številke za klic v sili