笔记本电脑或硬件安全密钥在咖啡馆或机场休息室被盗：立即终止会话¶

当您的笔记本电脑在屏幕唤醒并解锁时从咖啡厅桌子、联合办公桌或机场休息室座椅上被抢走，或者意识到小偷偷走了您的笔记本电脑包，而您的 FIDO2 硬件安全密钥（YubiKey) 仍然插入 USB-C 端口，这是远程工作人员或软件工程师可能面临的最糟糕的物理到数字安全紧急情况。与从酒店房间偷走的关闭电源的笔记本电脑（其中 FileVault 或 BitLocker 等全盘加密使驱动器保持锁定）不同，未锁定的温暖笔记本电脑会将您解密的 RAM、解锁的密码管理器交给窃贼（1Password / Bitwarden)，实时浏览器身份验证 cookie，活动 AWS / GCP / Azure CLI 凭证，且未加密 -/.ssh 银盘上的私钥。

如果抢夺行为涉及人身攻击、抢劫或武器威胁，请立即转移到安全地点并拨打当地紧急电话号码（美国和加拿大为 911，欧盟地区为 112，英国为 999；请参阅 紧急号码）并回顾我们的 抢劫和抢劫生存 指导。切勿将携带武器或逃跑的笔记本电脑窃贼追到街道或车辆上。相反，在前 60 秒内从口袋里拿出智能手机，并在交叉引用时执行这个精确的会话终止和硬件锁定序列 工作笔记本电脑在旅行时被盗或损坏：MDM 锁定和零停机恢复, 生产数据库意外丢失、git 秘密泄露和事件分类, 和 紧急远程工作安全和数据隐私。

现在就这样做¶

1. 不要追小偷；在 15 秒内拔出智能手机并触发远程硬件锁（Find My / Find My Device / Corporate MDM) 在小偷将笔记本电脑放入法拉第包或关闭 Wi-Fi 之前。 当小偷从咖啡桌上抢走打开的笔记本电脑时，笔记本电脑首先会保持与咖啡馆的 Wi-Fi（或手机热点）的连接 30 to 90 seconds 当他们跑下街区时：
   • MacBook（iPhone Find My App): 打开 查找我的 -> 设备 -> [您的 MacBook] -> 标记为丢失 (Activate) 并输入 4 至 6 位锁定 PIN 码。当该命令通过 Wi-Fi 到达 MacBook 时，macOS 会终止活动用户会话，强制固件/操作系统锁定屏幕，并需要 FileVault 加密凭据才能重新输入。
   • Windows 11 笔记本电脑： 在手机浏览器上，打开 account.microsoft.com/devices -> 选择您的笔记本电脑 -> 点击 查找我的设备 -> 锁定。
2. 如果您的笔记本电脑已连接到智能手机的个人热点，请不要在前 60 秒内关闭热点，直到单击“标记为丢失/远程锁定”，然后立即将其切断。 如果小偷仍在咖啡馆外距您 15 米（50 英尺）的范围内，则您手机的活动 Wi-Fi 热点可能是为您提供服务的“唯一”互联网连接。 Mark As Lost 向打开的笔记本电脑发出kill命令。等待 30 秒，让锁定命令传输，然后切换 个人热点关闭 和 蓝牙关闭（如果配对，也会触发 macOS/Windows 动态锁定）。
3. 用手机拨打贵公司的 IT 安全/SOC 热线 (0 to 3 minutes) 触发全局 IdP 会话撤销 (Okta / Microsoft Entra ID / Google Workspace) 和 MDM 远程擦除 (Jamf / Intune / Kandji). 即使窃贼通过摇动触控板并关闭 Wi-Fi 来保持笔记本电脑屏幕处于唤醒状态，撤销云服务器上的单点登录 (SSO) 刷新和访问令牌也能保证当窃贼将笔记本电脑重新连接到任何互联网连接以访问 Slack、Gmail、GitHub 或 AWS 时，每个企业 Web 会话都已经失效（401 Unauthorized）。
4. 如果您的密码管理器（1Password, Bitwarden, LastPass, Dashlane, Apple Passwords）已在笔记本电脑上解锁，请立即从手机应用程序中解除被盗设备的授权。 在手机上打开 1Password 或 Bitwarden，转至 管理帐户/Web Vault -> 活动会话/授权设备，然后在被盗笔记本电脑上单击 取消授权/撤销，然后如果存在明文备份，则轮换您的主密码。
5. 如果硬件安全密钥（YubiKey 5C Nano / Titan Key）插入笔记本电脑 USB 端口（或连接到被盗的密钥环），使用备份密钥或密钥从手机登录您的帐户，然后删除该特定 FIDO2 凭据。 虽然 FIDO2 硬件密钥需要 FIDO2 PIN（4 to 63 characters) 无密码 resident-key 登录，当用作第二个因素时（U2F / WebAuthn non-discoverable）在您的浏览器已保存您的用户名和密码的笔记本电脑上，任何触摸 YubiKey 上的金色电容触点的人都无需 PIN 即可通过 2FA。
6. 撤销并轮换存储在您的主文件夹中的每个本地开发人员凭证（-/.ssh/id_ed25519, -/.gnupg, -/.aws/credentials, -/.kube/config, .env 文件和 GitHub/GitLab 个人访问令牌）。 即使云 SSO 被终止，保持未锁定笔记本电脑处于唤醒状态的攻击者也可以对终端历史记录中的每个未加密 SSH 密钥和云 API 令牌进行原始文件系统访问（-/.zsh_history / -/.bash_history）。

决策树：解锁笔记本电脑抢夺与硬件安全密钥盗窃与肩窥¶

在咖啡馆、联合办公空间或机场安全事件发生后的前 15 分钟内，请遵循此高速分类流程图。

flowchart TD
    A["公共工作空间安全紧急情况（咖啡馆、联合办公空间、机场休息室、火车）"] --> B{"究竟发生了什么？"}
    B -->|"笔记本电脑在解锁/打开时被抢"| C["0-60 秒：在您的手机上，触发 Apple 查找我的“标记为丢失”或 Microsoft“锁定设备”-> 致电企业 IT SOC 进行 MDM 锁定/擦除 + 全局 SSO 会话终止"]
    B -->|"笔记本电脑在锁定/盖子关闭/关闭时被盗"| D["FileVault / BitLocker 保护静态磁盘 -> 触发“查找我的”/MDM 远程擦除 -> 轮换 SSO 密码并撤销活动云会话"]
    B -->|"硬件安全密钥 (YubiKey) 被盗（单独或插入笔记本电脑）"| E["使用备份密钥/密码从手机登录 IdP (Okta/Entra/Google)、GitHub、AWS 和密码管理器 -> 删除被盗的 YubiKey 注册"]
    B -->|"肩窥/有人拍摄了你的屏幕或键盘"| F["立即锁定屏幕 (Cmd+Ctrl+Q / Win+L) -> 移动到私人区域 -> 旋转输入的特定密码/PIN + 屏幕上可见的任何 API 密钥"]
    C --> G["在 1Password / Bitwarden Web Vault 内取消对被盗笔记本电脑的授权 -> 终止所有 Google / Microsoft / Okta / Slack / GitHub Web 会话"]
    E --> G
    G --> H{"笔记本电脑是否有本地开发人员密钥（home .ssh、.aws、.gnupg、Git PAT、Docker/K8s 令牌）？"}
    H -->|"是：工程师/管理员/创始人 笔记本电脑"| I["从 GitHub/GitLab 和生产服务器中删除 .ssh 公钥 (`authorized_keys`) -> 在控制台中停用 AWS IAM 密钥 -> 撤销 GPG 密钥"]
    H -->|"否：标准商业/浏览器用户"| J["验证浏览器同步（`Chrome/Edge/iCloud Keychain`）是否已远程注销 -> 提交本地警方报告和咖啡馆闭路电视保存请求"]
    I --> J

第 1 部分：针对未锁定的被盗笔记本电脑的 5 分钟“杀伤链”（逐平台命令）¶

当笔记本电脑在解锁状态下被抢时，不要等到您回家或购买新电脑才开始撤销访问权限。下面的每一项关键遏制行动都可以直接从您的 iPhone 或 Android 智能手机站在咖啡店内执行。

第 1 步：远程强制锁定操作系统（0 to 60 seconds）¶

1. 苹果MacBook（macOS):
   • 打开 iPhone 上的 Find My 应用程序（或登录 icloud.com/find 在任何手机浏览器上，绕过 2FA，因此即使您的手机也被盗，您也可以使用它）。
   • 点击 设备 -> [您的 MacBook] -> 标记为丢失 -> 激活。
   • 如果小偷立即关闭 Wi-Fi 或合上盖子怎么办？ Mark As Lost 或 Erase This Device 命令在 Apple 的 APNs 服务器上排队，并在 MacBook 下次接触任何 Wi-Fi 网络（或通过“查找我的网络”）时瞬间触发。如果启用了“睡眠或屏幕保护程序开始后立即需要密码”，则关闭 MacBook 盖子也会自动锁定屏幕。
2. Windows 10 / Windows 11 笔记本电脑：
   • 在手机浏览器上，打开account.microsoft.com/devices，选择您的笔记本电脑，然后点击 查找我的设备 -> 锁定。
   • 如果它是由 Microsoft Intune 管理的企业 Windows 笔记本电脑，请登录 Intune 公司门户 (portal.manage.microsoft.com) 在您的手机上 -> 选择您的笔记本电脑 -> 点击 操作 -> 远程锁定 或 重置密码/擦除。

步骤 2：终止所有云单点登录 (SSO) 和浏览器会话 (1 to 3 minutes）¶

即使窃贼禁用笔记本电脑上的 Wi-Fi 以离线浏览您的本地硬盘，他们最终也会将笔记本电脑连接到蜂窝热点或复制您的浏览器的 Cookies 和 Local Storage SQLite 文件到另一台计算机上以劫持您登录的 Web 会话。 立即通过您的手机使服务器端的那些会话令牌失效：

第 2 部分：如果您的 YubiKey 或硬件安全密钥被盗怎么办？¶

许多远程工作人员将低调的 YubiKey 5C Nano 永久插入笔记本电脑侧面的 USB-C 端口，或者在挂绳上携带 YubiKey 5 NFC，挂绳会随笔记本电脑包一起被抢走。恐慌经常出现：“小偷可以使用我的 YubiKey 登录我的所有帐户吗？如果没有 YubiKey，我如何进入我的帐户？”

1. 了解小偷可以和不可以用您偷来的 YubiKey 做什么¶

现代硬件安全密钥（YubiKey 5 Series, Google Titan, Token2, Nitrokey）支持四种不同的身份验证协议，每种协议在物理被盗时都有不同的风险状况：

1. FIDO2 可发现的凭证（Passkeys / 无密码登录）：
   • 受您的 FIDO2 PIN 保护（4 to 63 alphanumeric characters). 如果窃贼将您偷来的 YubiKey 插入他们自己的计算机并尝试使用无密码 FIDO2 密钥，则 YubiKey 硬件芯片需要您的 FIDO2 PIN。 连续 8 次错误 PIN 猜测后，YubiKey 上的 FIDO2 小程序 永久锁定并自变砖（Factory Reset Required)，删除所有凭证。
2. FIDO U2F / WebAuthn 第二因素（Username + Password + Touch YubiKey):
   • 大多数网站默认不需要 PIN 码。 如果小偷只是从您的外套口袋里偷走了您的 YubiKey（并且没有拥有您的笔记本电脑或密码），则 YubiKey 对他们来说毫无用处，因为 U2F 密钥不会透露它注册到哪些网站。
   • 如果插入未锁定的笔记本电脑，则存在严重危险： 如果小偷偷走了您的未锁定的笔记本电脑，且侧面插入了 YubiKey，则您的浏览器的自动填充或密码管理器已经提供了用户名和密码，小偷只需用手指触摸 YubiKey 上的金色金属按钮，即可将 2FA 传递到您的银行、AWS 根帐户或加密货币交易所。
3. YubiKey OpenPGP (gpg 智能卡）和 PIV（X.509 证书）小程序：
   • 受硬件保护 用户 PIN（默认 123456 如果您从未更改过） 和 管理员 PIN 码（默认 12345678) 在 3 次错误尝试后 锁定。 （如果您将 OpenPGP PIN 保留为出厂默认值 123456，假设 YubiKey 上的 PGP 密钥已被泄露并立即撤销它。）
4. YubiKey 静态密码/Yubico OTP（长 44 个字符） ccccc... 触摸时发出的字符串）：
   • 如果您将 YubiKey 的 插槽 1 或插槽 2 配置为每当触摸金垫 1 到 3 秒时键入静态密码或 Yubico OTP，则任何按住该键的人都可以打开记事本，触摸该键并读取该静态字符串。

2. 5 分钟内注销被盗 YubiKey 的分步协议¶

1. 获取您的备份硬件安全密钥（或使用您的 iPhone/Android 密钥/身份验证器应用程序/备份代码）：
   • 最佳实践（由 NIST SP 800-63B 强制执行）是始终注册至少两个物理安全密钥（一把在钥匙圈/笔记本电脑上，一把锁在保险箱或旅行行李箱中）以及智能手机上的设备密码。
2. 登录您的高优先级帐户并仅按昵称删除被盗的 YubiKey：
   • 谷歌/ Gmail (myaccount.google.com/signinoptions/two-step-verification): 点击 密码和安全密钥 -> 找到被盗的密钥 -> 点击 垃圾桶图标 将其删除。
   • 微软/Entra ID (mysignins.microsoft.com/security-info): 找到被盗的 安全密钥 -> 点击 删除。
   • Apple ID（Settings -> [Your Name] -> Sign-In & Security -> Two-Factor Authentication -> Security Keys): 点击被盗的密钥 -> 删除密钥。
   • GitHub (github.com/settings/security): 在 密钥 和 双因素方法 -> 安全密钥 下，单击被盗密钥旁边的 删除。
   • AWS 根/IAM (IAM Console -> Users -> Security credentials -> Multi-factor authentication): 选择被盗的 FIDO 安全密钥并单击 删除。
   • 1Password / Bitwarden / Cloudflare / Coinbase / Kraken： 打开每个服务的 2FA 设置并删除被盗的硬件令牌注册。

第 3 部分：开发人员、DevOps 和 SSH/GPG 密钥轮换（ -/.ssh 和 -/.aws 紧急）¶

如果您是一名软件工程师、DevOps/SRE 管理员、数据科学家或初创公司创始人，其未锁定的笔记本电脑被盗，撤销浏览器 cookie 只是成功的一半。转储您的主目录的小偷可以访问以纯文本形式存储在 SSD 上的每个长期存在的加密密钥和 CLI 令牌。

在前 15 分钟内从备用手机或队友的笔记本电脑执行此 5 步开发人员凭据清除：

1. SSH 密钥（-/.ssh/id_ed25519 / -/.ssh/id_rsa): 即使受密码保护，假设任何 SSH 密钥加载到 ssh-agent 未锁定的笔记本电脑上的 RAM 受到损害。前往github.com/settings/keys 和 gitlab.com/-/user_settings/ssh_keys 并立即删除笔记本电脑的 SSH 公钥，并让队友从其中删除您的公钥 -/.ssh/authorized_keys 在所有生产 Linux 服务器和堡垒主机上。
2. Cloud CLI 凭证（-/.aws/credentials, -/.config/gcloud, -/.azure): 打开 AWS IAM 控制台 -> 用户 -> [您] -> 安全凭证 并单击所有访问密钥上的 停用/删除 (AKIA...）。撤销 Google 云 gcloud auth 通过您的 Google 帐户第三方连接页面 (Google Cloud SDK）。
3. GitHub、GitLab、npm、PyPI 和 Docker 个人访问令牌： 转到 github.com/settings/tokens 并单击 Fine-Grained PAT 和 Classic 上的 全部撤销 ghp_... 代币。撤销 -/.npmrc 代币（npmjs.com）和 -/.pypirc 代币。
4. 库伯内特斯（-/.kube/config) & 地形 (-/.terraform.d): 轮换静态 Kubeconfig 客户端证书或 OIDC 令牌并撤销 Terraform Cloud API 令牌（app.terraform.io）。
5. GPG / PGP 签名密钥 (-/.gnupg): 发布您预先生成的 GPG 吊销证书 (gpg --import revoke.asc 和 gpg --keyserver keys.openpgp.org --send-keys [KeyID]）并从 GitHub 中删除 GPG 密钥。

第 4 部分：回应“肩窥”（有人在咖啡馆/航班上拍摄或观看您的屏幕）¶

如果没有人偷了你的实体笔记本电脑，但在机场门口、飞机上或咖啡馆工作时，你发现坐在你后面或相邻座位上的人用智能手机摄像头拍摄你的屏幕或键盘（或者直接盯着打开的屏幕），该怎么办？ .env 文件、密码提示或机密幻灯片）？

1. 只需一次反射击键即可立即锁定屏幕：
   • macOS： 按 Cmd + Ctrl + Q（立即锁定屏幕而不关闭应用程序）。
   • Windows： 按 Win + L。
   • Linux： 按Super + L 或 Ctrl + Alt + L。
2. 不要发起肢体冲突： 冷静地收拾好笔记本电脑，走到一个私人座位上，背靠着坚固的墙壁，然后查看过去 10 分钟内屏幕上显示的内容或键盘上输入的内容。
3. 旋转屏幕上闪现的每个秘密：
   • 如果您在别人可以看到您手指的情况下输入了笔记本电脑登录密码或密码管理器主密码，请立即从私人位置更改该密码。
   • 如果是终端窗口， .env 文件、Postman 标头或云控制台在屏幕上可见，假设任何高分辨率 4K 3 米（10 英尺） 内的智能手机摄像头拍摄了 API 密钥的清晰、可缩放的照片，并立即旋转这些密钥（请参阅 Zoom 或 Teams 屏幕共享意外泄漏）。

6 点“咖啡馆和机场证明”笔记本电脑强化检查表（立即设置）¶

立即配置这六种硬件和操作系统设置，这样即使小偷明天从桌子上抢走您打开的笔记本电脑，笔记本电脑也会在小偷到达咖啡厅门口之前自行锁定：

• 1.启用蓝牙近距离自动锁定（Dynamic Lock 在 Windows 上 / Near Lock 或 Mac 上的 Apple Watch 自动锁定）：
  • **Windows 11：**通过蓝牙将您的 iPhone 或 Android 手机与笔记本电脑配对，然后转到 设置 -> 帐户 -> 登录选项 -> 动态锁定 并选中 “允许 Windows 在您离开时自动锁定您的设备”。一旦小偷带着你的笔记本电脑跑到距离桌子 10 米（33 英尺）的地方（或者你关闭口袋里手机上的蓝牙），Windows 就会自动锁定屏幕。
• 2.设置“热角”和 60 秒电池空闲屏幕锁定计时器：
  • 在 macOS（系统设置 -> 锁定屏幕）和 Windows（设置 -> 系统 -> 电源和电池 -> 屏幕和睡眠）上，在公共场所工作时将 关闭显示屏/需要电池密码 设置为 1 或 2 分钟。
• 3.配置 1Password / Bitwarden 在系统锁定或闲置 1 分钟后立即锁定：
  • 在1密码->设置->安全中，设置计算机空闲后锁定 1 minute，选中锁定睡眠，并启用Touch ID / Windows Hello，这样您就永远不会在公共场合使用可见的按键输入主密码。
• 4.每个都需要硬件触摸和密码短语 ssh 和 git 操作（1Password SSH Agent 或 FIDO2 ed25519-sk 钥匙）：
  • 而不是保持未加密状态 -/.ssh/id_ed25519 文件存储在您的硬盘上，将您的 SSH 密钥存储在 1Password SSH Agent 中（这需要生物识别 Touch ID 批准每个单 git push 或 ssh 连接）或生成硬件绑定ssh-keygen -t ed25519-sk -O verify-required 无法从 YubiKey 中复制且每次使用时都需要 FIDO2 PIN 的密钥。
• 5.始终附有磁性 60-Degree 微百叶窗隐私屏幕过滤器（3M / Kensington）公开：
  • 磁性隐私屏幕会将您的显示屏变暗为纯黑色，任何人从偏离中心 30 度以上的角度观看时，都会使旁边飞机或咖啡馆座位上的肩膀冲浪者感到眩目。
• 6。切勿让笔记本电脑在无人看管的情况下“仅 30 秒”去喝咖啡或上厕所：
  • 结束 70 percent 当工作人员将笔记本电脑放在桌子上 45 秒，以便在柜台取一杯拿铁咖啡或询问陌生人*“你能看管我的东西吗？”* 一定要将笔记本电脑装入包中并随身携带，或者将Kensington NanoSaver 钢缆锁绕在螺栓固定的桌架上时，就会发生咖啡馆和机场休息室盗窃案。

地区紧急电话号码和机构协议¶

锁定被盗的笔记本电脑并撤销活动的云会话（前 5 分钟）后，向地方当局报告物理盗窃并在覆盖之前保留咖啡馆/机场的闭路电视录像（大多数咖啡馆每 24 到 72 小时就会覆盖闭路电视）：

美国和加拿大¶

• 紧急警察调度（抢劫/看到犯罪嫌疑人）： 拨打 911。 （如果在机场航站楼内，请立即在最近的登机口联系机场警察/港务局警察，以便警察可以在小偷退出安检或登上火车之前拦截他们）。
• 非紧急警察报告（企业保险和信用卡保险所需）： 拨打 311 或当地城市警察非紧急热线，获取 警察事件报告号码。
• 联邦网络/企业盗窃报告： 如果解锁的企业设备被盗导致未经授权的网络入侵或勒索，请向 FBI 互联网犯罪投诉中心（ic3.gov) 和 CISA (cisa.gov/report) 在美国，或 加拿大网络安全中心 (cyber.gc.ca) 在加拿大。

英国¶

• 紧急警察调度（抢劫/小偷仍然存在）： 拨打 999。
• 非紧急警察报告和铁路/机场管辖范围：
  • 在咖啡馆或街道地点：拨打101（或向当地警察在线备案）获取犯罪参考号码（CRN） 立即地。
  • 在火车上或火车/地铁站内：文本英国交通警察（BTP) 拨打 61016 或致电 0800 40 50 40。
• 数据泄露评估（UK GDPR): 如果笔记本电脑在 解锁 时被抢，并且包含客户或员工的未加密个人数据，请通知您的数据保护官 (DPO）立即评估 72 小时英国 ICO 违规报告是否（ico.org.uk) 为必填项。

欧盟¶

• 泛欧紧急电话号码： 拨打 112 以获得所有欧盟成员国的即时警方援助。
• 警方报告（Procès-Verbal / Strafanzeige / Denuncia): 前往最近的当地警察局（Commissariat de Police、Polizeiwache、Comisaría de Policía、Questura）获取盖章的书面盗窃报告，如果设备在盗窃时已解锁，请立即根据 GDPR 第 33 条 通知您公司的 DPO。

澳大利亚和新西兰¶

• 紧急调度：拨打澳大利亚的000或新西兰的111。
• 非紧急警察报告： 致电 131 444（澳大利亚警察援助热线）或 105（新西兰警察非紧急情况）以获取警察事件编号，并通过 ** 报告公司凭证泄露cyber.gov.au (ACSC)** 或 新西兰 CERT (cert.govt.nz）。

印度和亚太地区¶

• 印度： 拨打 112（紧急）或 100（警察），并通过州警察公民门户立即提交 e-FIR/丢失物品报告，以便您拥有企业 MDM 资产核销和 CERT-In 合规性的官方文件。
• 新加坡和日本： 在新加坡，请致电 999（紧急）或在 新加坡警察部队电子服务门户网站 (police.gov.sg）。在日本，请立即向最近的**Koban（派出所）**或机场警察局报案，以获得Tounan-Todoke（盗窃报告编号）。

常见问题¶

当我的 MacBook 或 Windows 笔记本电脑被盗且未解锁时，我应该先单击“擦除此设备”（远程擦除）还是“标记为丢失”（远程锁定）？¶

出于两个重要原因，始终先触发**标记为丢失/远程锁定**，并等到锁定得到确认（或与您的公司 IT 团队协调），然后再触发完全擦除/擦除。首先，一个 `Remote Lock` 数据包很小，在通过 Wi-Fi 到达笔记本电脑的一微秒内立即执行，终止活动的桌面会话并锁定 FileVault 或 BitLocker 加密后的屏幕，同时保留笔记本电脑将其 GPS/Wi-Fi 位置信标返回“查找”的能力。其次，如果您单击“从帐户中删除”（与“擦除”不同），您会不小心关闭激活锁，从而使小偷可以干净地擦除并转售 MacBook。切勿从“查找我的”中单击“删除此设备”。

如果我的笔记本电脑打开了 FileVault (Mac) 或 BitLocker (Windows)，即使我的文件在屏幕打开时被盗，这是否也能保护我的文件？¶

全磁盘加密（FileVault 2 和 BitLocker）可保护静态数据（当笔记本电脑关闭、休眠或在预启动/登录屏幕锁定时）。但是，当您在屏幕解锁的情况下登录桌面时，加密主密钥位于易失性系统 RAM 中，因此您的操作系统和应用程序可以读取和写入文件。如果小偷在屏幕唤醒时抢走您的笔记本电脑并不断敲击触控板以使屏幕永远不会锁定，FileVault 和 BitLocker 不会阻止他们复制您的文件，这就是为什么从您的手机立即发送远程锁定命令并在前 60 秒内撤销云会话如此重要的原因。

如果我的 iPhone 和解锁的 MacBook 在同一张桌子上被抢到一起怎么办：如何在没有手机的情况下锁定它们以进行 2FA？¶

苹果针对这种情况建立了一个特定的紧急旁路：借用咖啡馆员工的手机、陌生人的手机或同事的笔记本电脑，然后打开 **`icloud.com/find`** 直接（注意 `/find` 位于 URL 末尾）。与主线不同的是 `icloud.com` 门户网站， **`icloud.com/find` 允许您仅使用 Apple ID 电子邮件和密码登录，无需 6 位双因素身份验证码**。一旦进去 `icloud.com/find`，您可以立即将 iPhone 和 MacBook 置于 **丢失模式**，锁定两个屏幕并在 30 秒内禁用 Apple Pay。

小偷可以从被盗的 YubiKey 5C Nano 中提取我的 SSH 私钥或密码吗？¶

不会。真正的 YubiKey 将所有 FIDO2、U2F、PIV 和 OpenPGP 私钥存储在防篡改加密安全元件硬件芯片内（`EAL6+` 已认证）。从物理和数学角度来说，将 YubiKey 的私钥复制、导出或读取到计算机上是不可能的。 YubiKey 被盗的唯一风险是，实际拥有密钥的人可以将其插入并触摸金色按钮来*使用*它，直到您登录到您的帐户（GitHub、Google、AWS、SSH `authorized_keys`）并删除该 YubiKey 的公共注册。

如果我锁定屏幕，将笔记本电脑放在咖啡厅桌子上 60 秒去上厕所是否安全（Cmd+Ctrl+Q / Win+L）首先？¶

不会。锁定屏幕时 `Cmd + Ctrl + Q` 或 `Win + L` 通过 FileVault 或 BitLocker 保护您的数字数据，它可以零阻止小偷带着您的文件走出家门 `$2,500` 4 秒内即可安装物理笔记本电脑。将锁定的笔记本电脑放在无人看管的桌子上还会使其遭受物理硬件篡改（例如，当您在洗手间时，恶意攻击者将 O.MG 电缆、USB Rubber Ducky 或硬件键盘记录器插入您的 USB-C 端口）。每次上厕所时，务必将笔记本电脑放入背包中并随身携带。

来源和官方指导¶

• 国家标准与技术研究所（NIST，美国）： NIST SP 800-46 Rev. 2 企业远程工作、远程访问和自带设备 (BYOD) 安全指南 和 NIST SP 800-63B 数字身份指南（多因素硬件身份验证器丢失和撤销要求）。
• 网络安全和基础设施安全局（CISA，美国）和英国国家网络安全中心（NCSC): 保护移动设备的安全（物理会话锁定、蓝牙接近锁定、肩窥缓解和远程 MDM 擦除协议）。
• Yubico AB： 如果您丢失了 YubiKey 该怎么办（support.yubico.com)（FIDO2 8 次尝试 PIN 锁定、U2F 第二因素风险模型、OpenPGP 3 次尝试 PIN 锁定和备份密钥架构）。
• Apple Inc. 和 Microsoft Corporation： Apple 平台安全指南（FileVault 卷加密、T2 / Apple Silicon Secure Enclave 和 icloud.com/find No-2FA 丢失模式架构） 和 Microsoft Windows 11 BitLocker DMA 保护和动态锁定技术文档。
• 欧洲数据保护委员会（EDPB): GDPR 下的个人数据泄露通知指南 9/2022（区分静态加密锁定设备盗窃与解锁活动会话设备盗窃）。

相关指南¶

• 工作笔记本电脑在旅行时被盗或损坏：MDM 锁定和零停机恢复
• 生产数据库意外丢失、git 秘密泄露和事件分类
• 紧急远程工作安全和数据隐私
• 在酒店或临时空间远程工作
• 抢劫和抢劫生存
• 紧急电话号码