Egy laptop elvesztése elsőre egy tárgy elvesztésének tűnik. Megnézed, mennyibe kerül a pótlása, bosszankodsz a biztosítási önrészen, aztán továbblépsz. Csakhogy általában maga a hardver a legolcsóbb dolog a táskában. Az igazi kérdés az, hogy mit tud elolvasni az, akinél a gép van — és a legtöbb laptop esetében az őszinte válasz az, hogy mindent.
Megmutatjuk, mi történik valójában az adataiddal, miután lába kél a laptopodnak, és melyik az az egyetlen beállítás, amely eldönti, hogy mindez számít-e egyáltalán.
A bejelentkezési jelszavad egy ajtó, nem pedig széf
Ez az a félreértés, amely a legtöbb kárt okozza.
A Windows vagy a macOS bejelentkezési jelszava azt dönti el, ki jelentkezhet be a futó operációs rendszerbe. A meghajtón lévő bájtokkal azonban semmit sem csinál. Ha a lemez nincs titkosítva, a tolvaj két pofonegyszerű módon is megkerülheti:
- Kiveszi a meghajtót. A modern laptopok ezt ugyan megnehezítik, de ahol a tárhely kivehető, ott külső lemezként csatlakoztatható egy másik számítógéphez. A másik számítógépnek fogalma sincs arról, hogy létezik a jelszavad — egyszerűen csak fájlokat lát.
- Másról indítja el a gépet. Ha egy USB-s telepítőről vagy egy live Linux pendrive-ról indítják el a gépet, máris szabadon tallózható a belső meghajtó anélkül, hogy bármilyen bejelentkező képernyő megjelenne.
Egyikhez sem kell különösebb szakértelem. Mindkettőhöz lépésről lépésre követhető leírások találhatók az interneten. A bejelentkezési jelszó megállítja a lakótársadat; azt viszont nem, akinek egy csavarhúzóval és egy szabad délutánnal az asztalán fekszik a géped.
Mit tudnak valójában elolvasni
Tételezzük fel, hogy a meghajtó nincs titkosítva. Íme egy átlagos munkalaptop valósághű leltára:
- A Dokumentumok mappád — adóbevallások, bérpapírok, szerződések, az útleveled és a jogosítványod szkennelt másolatai. Azok a fájlok, amelyeket senkinek sem szabadna titkosítatlanul tartania, statisztikailag pontosan ott hevernek.
- A fotóid — beleértve azokat is, amelyeket egy „rejtett” vagy furcsa nevű mappába tettél át, amely valójában semmilyen érdemi értelemben nem rejtett. Egyetlen jelölőnégyzet a fájlkezelőben azonnal felfedi őket.
- A böngészőprofilod — elmentett jelszavak, automatikusan kitöltött címek és kártyaadatok, sütik, valamint azok a munkamenet-tokenek, amelyek jelszó megadása nélkül is bejelentkezve tarthatnak valakit a fiókjaidban.
- A szinkronizált felhőmappáid — a Dropbox, a OneDrive, a Google Drive és az iCloud Drive helyi másolatai sima, olvasható formában ülnek a lemezen, az asztali alkalmazások pedig többnyire bejelentkezve maradnak.
- Az üzeneteid — az asztali csevegőalkalmazások helyi előzményeket tárolnak. Évek beszélgetései, szabadon kereshetően.
Az utolsó két pont különösen fájdalmas. Az emberek úgy gondolnak egy ellopott laptopra, mintha csak azt veszítenék el, ami a laptopon volt. A gyakorlatban azonban ez gyakran egy kulcscsomó olyan fiókokhoz, amelyek teljesen máshol élnek.
„De hát távolról is törölhetem”
Megpróbálhatod, és érdemes is megpróbálnod. A macOS Lokátor (Find My) és a Windows Készülékkereső (Find My Device) funkciója megjelölheti a gépet törlésre.
A buktató az, hogy a törlési parancs nem varázspálca. Egy várólistába kerül, és csak akkor fut le, amikor a laptop legközelebb csatlakozik az internethez. Az a tolvaj, aki lehajtva tartja a fedelet, vagy még azelőtt letörli és újratelepíti a gépet, hogy az valaha is hálózatra csatlakozna, soha nem kapja meg az üzenetet. Annak pedig, akinek csak a meghajtó kell, még be sem kell kapcsolnia a laptopot.
Tekints a távoli törlésre úgy, mint egy lottószelvényre, aminek örülsz, hogy a zsebedben van — de ne kezeld adatvédelmi stratégiaként.
A beállítás, ami valójában eldönti a dolgot: a teljes lemeztitkosítás
Íme a jó hír: van egyetlen beállítás, amely az egész végkimenetelt megváltoztatja, és már eleve be van építve abba az operációs rendszerbe, amelyet használsz.
- macOS: FileVault. Rendszerbeállítások → Adatvédelem és biztonság → FileVault.
- Windows: BitLocker / Eszköztitkosítás. Gépház → Adatvédelem és biztonság → Eszköztitkosítás, vagy BitLocker meghajtótitkosítás az ezt kínáló kiadásokon.
Bekapcsolt teljes lemeztitkosítás mellett a teljes meghajtó olvashatatlan a hitelesítő adataid nélkül. Kivehetik, csatlakoztathatják máshová, indíthatják USB-ről — teljesen mindegy, mert nincs rajta semmi értelmezhető. A tolvajnak csak a hardver jut. Semmi más.
Két fontos kitétel, amit érdemes tudni:
- Nincs mindig alapból bekapcsolva. Az, hogy a titkosítás gyárilag engedélyezve van-e, függ az operációs rendszer verziójától, a kiadástól, a hardvertől és attól, hogyan állították be a gépet. Ne feltételezd — nyisd meg a beállítást, és nézd meg.
- A nyugalmi állapotban lévő adatokat védi. A teljes lemeztitkosítás akkor végzi a dolgát, amikor a gép ki van kapcsolva. Ha a laptopodat egy kávézó asztaláról kapják fel, miközben ébren van és be vagy jelentkezve, a lemez már fel van oldva. És vele együtt minden, ami rajta van.
Ez a második kitétel az a rés, amelyen rengeteg lopás egyenesen átcsúszik. A laptopokat ritkán lopják el hajnali háromkor egy bezárt fiókból. Nyitva lopják el őket, egy asztalról, mondat közben.
A második zár: titkosítsd azokat a fájlokat, amelyek igazán számítanak
A teljes lemeztitkosítás az alapszint, nem a plafon. Egyetlen zár az épület külső ajtaján, amely végig nyitva áll, amíg használod a gépet.
A megoldás egy második, különálló zár azon kisszámú fájl körül, amelyek elvesztése valóban fájna: személyazonosító okmányok, pénzügyi kimutatások, privát fotók, ügyfélanyagok, bármilyen jogi vagy orvosi dokumentum. Ezeket a fájlokat egyesével, saját hitelesítő adatok mögött érdemes titkosítani, hogy akkor is olvashatatlanok maradjanak, amikor a számítógép fel van oldva és fut.
Ez az alapelv áll az érzékeny fájlok megfelelő tárolása Windowson és Macen mögött: az érzékeny kisebbség erősebb védelmet kap, mint a mindennapi többség.
Hol illeszkedik ebbe a Vaultine
A Vaultine pontosan ez a második zár.
- Saját hitelesítés, nem az operációs rendszered bejelentkezése. A széf a saját mintád vagy PIN-kódod mögött marad zárolva. A laptopba való bejelentkezés nem nyitja ki, így egy éber állapotban ellopott gép sem adja ki a széf tartalmát.
- Minden fájl egyedileg titkosítva. Minden egyes fájl saját AES-256 kulcsot kap. A kulcs a saját mintádból vagy PIN-kódodból származik, és soha nem hagyja el az eszközödet.
- Nincs fiók, amit átvehetnének. Nincs regisztráció és nincs e-mail-cím, így nincs olyan bejelentkezésed, amelyet valaki eltéríthetne — és nincs másolat a fájljaidról a szervereinken, amelyet feltörhetnének vagy hatóságilag kikérhetnének.
- A felhőbeli másolat is titkosított adat. A széfed alapértelmezés szerint az eszközödön él. Ha úgy döntesz, hogy a saját Dropboxodon keresztül szinkronizálsz, kizárólag titkosított adatok kerülnek fel — így egy olyan ellopott laptop sem fedi fel a széfet, amely még be van jelentkezve a Dropboxba.
- Ugyanaz a széf a többi eszközödön. Windows, macOS, Android és iPhone. Ha a laptop odavan, a fájlok még nem vesztek el.
Ha pedig a fenyegetési modelled része az is, hogy kényszeríthetnek a megnyitására, a Decoy Vault egy külön PIN-kóddal egy másik, hétköznapinak tűnő széfet nyit meg, míg a Duress Vault egy üres széfet nyit meg, és törli a valódi tartalmat.
A 20 perces ellenőrzőlistád
Ezt még azelőtt csináld meg, hogy szükséged lenne rá, ne utána:
- Kapcsold be a teljes lemeztitkosítást. FileVault macOS-en, BitLocker vagy Eszköztitkosítás Windowson. A helyreállítási kulcsot ne a laptopon tárold.
- Állíts be gyors képernyőzárolást. Egy–öt perc tétlenség után, azonnali jelszókéréssel. Ez szűkíti le az „ébren ellopott gép” időablakát.
- Ne hagyd, hogy a böngésző tárolja a jelszavaidat. Költöztesd át őket egy saját zárral védett, dedikált jelszókezelőbe.
- Kapcsold be a Lokátort / Készülékkeresőt. Ez a lottószelvény ingyen van.
- Titkosítsd azokat a fájlokat, amelyek elvesztése valóban fájna. Igazolványok, pénzügyi iratok, privát fotók, ügyfélmunkák — egy saját hitelesítéssel védett széfbe.
- Ellenőrizd, hogy van-e valódi biztonsági mentésed. A titkosítás megvédi az adataidat másvalakitől. A biztonsági mentés megvédi őket az elvesztéstől. Mindkettőre szükséged van.
Ha már megtörtént a baj
Haladj ebben a sorrendben, mert az első pont nyitja meg az utat az összes többihez:
- Változtasd meg az elsődleges e-mail-fiókod jelszavát, és jelentkezz ki az összes munkamenetből. Az e-mail a visszaállítási útvonal minden más fiókodhoz.
- Változtasd meg a felhőtárhelyek, a banki szolgáltatások és minden, a böngészőben elmentett fiók jelszavát. A munkamenet-tokenek egyes szolgáltatásoknál túlélhetik a jelszóváltoztatást, ezért jelentkezz ki mindenhol.
- Válaszd le az eszközt a felhőtárhelyedről és a jelszókezelődről, hogy a szinkronizált példány ne frissüljön tovább.
- Indítsd el a távoli törlést. Lehet, hogy célba ér. Egy próbát megér, nem kerül semmibe.
- Tegyél rendőrségi feljelentést. Szükséged lesz az ügyszámra a biztosítóhoz, és minden olyan szolgáltatóhoz, amelynek igazolnod kell a történteket.
- Az új gépen már az első napon kapcsold be a titkosítást — még mielőtt átmásolnád rá a fájljaidat.
A lényeg
Egy ellopott laptop csak akkor pusztán hardveres probléma, ha a rajta lévő adatok olvashatatlanok voltak. Ellenkező esetben személyazonossági, pénzügyi és adatvédelmi probléma, amely hardveres problémának álcázza magát.
A teljes lemeztitkosítás a legértékesebb egyetlen beállítás a gépeden, és körülbelül két percbe telik bekapcsolni. Ezután tegyél egy második zárat azok köré a fájlok köré, amelyeket semmiképp sem szeretnél idegen kézben látni — mert az a pillanat számít igazán, amikor a laptop már eleve fel volt oldva.
Kezdd azokkal a fájlokkal, amelyek elvesztése a legjobban fájna — a Vaultine az első fájljaidat ingyenesen titkosítja.
