Perdere un portatile sembra come perdere un oggetto. Valuti il prezzo della sostituzione, ti lamenti della franchigia assicurativa e vai avanti. Ma l’hardware di solito è la cosa più economica nella borsa. La vera domanda è cosa può leggere la persona che lo ha in mano e per la maggior parte dei portatili, la risposta onesta è tutto.
Ecco cosa succede effettivamente ai tuoi dati dopo che un portatile è stato rubato, e l’unica impostazione che decide se qualcosa di tutto ciò ha importanza.
La tua password di accesso è una porta, non una cassaforte
Questo è il malinteso che fa più danni.
Una password di accesso a Windows o macOS decide chi può accedere al sistema operativo in esecuzione. Non fa nulla ai byte sull’unità. Se il disco non è crittografato, un ladro ha due semplici modi per aggirarlo:
- Estrarre l’unità. I portatili moderni rendono questo più difficile, ma dove l’archiviazione è rimovibile, può essere collegata a un altro computer come disco esterno. L’altro computer non ha idea che la tua password esista. Vede solo i file.
- Avviare da qualcos’altro. Avvia la macchina da un programma di installazione USB o da una chiavetta Linux live e starai navigando nell’unità interna senza alcuna richiesta di accesso in vista.
Nessuno dei due richiede abilità speciali. Entrambi sono guide passo passo su Internet. Una password di accesso ferma il tuo coinquilino; non ferma qualcuno che ha la macchina su una scrivania con un cacciavite e un pomeriggio libero.
Cosa possono effettivamente leggere
Supponiamo che l’unità non sia crittografata. Ecco l’inventario realistico di un normale portatile da lavoro:
- La tua cartella documenti: dichiarazioni dei redditi, buste paga, contratti, scansioni del tuo passaporto e patente di guida. I 5 file che non dovresti mai tenere non crittografati sono, statisticamente, seduti proprio lì.
- Le tue foto: incluse quelle che hai spostato in una cartella «nascosta» o dal nome strano, che non è nascosta in alcun senso significativo. Una casella di controllo nel file manager le rivela.
- Il profilo del tuo browser: password salvate, indirizzi di riempimento automatico e dettagli della carta, cookie e token di sessione che possono mantenere qualcuno connesso ai tuoi account senza mai aver bisogno della password.
- Le tue cartelle cloud sincronizzate: le copie locali di Dropbox, OneDrive, Google Drive e iCloud Drive risiedono sul disco in forma semplice e leggibile, e le app desktop sono di solito ancora connesse.
- I tuoi messaggi: le app di chat desktop mantengono la cronologia locale. Anni di conversazioni, ricercabili.
L’ultimo paio è la puntura nella coda. Le persone pensano a un portatile rubato come alla perdita di ciò che era sul portatile. In pratica è spesso un set di chiavi per account che vivono da qualche altra parte.
«Ma posso semplicemente cancellarlo da remoto»
Puoi provare, e dovresti. Dov’è su macOS e Trova il mio dispositivo su Windows possono contrassegnare una macchina per essere cancellata.
L’inghippo è che un comando di cancellazione non è una bacchetta magica. Si trova in una coda e viene eseguito quando il portatile si connette a Internet la volta successiva. Un ladro che tiene il coperchio chiuso, o che pulisce e reinstalla prima ancora di connettersi a una rete, non riceve mai il messaggio. Qualcuno che vuole solo l’unità non ha nemmeno bisogno di accendere il portatile.
Tratta la cancellazione remota come un biglietto della lotteria che sei felice di tenere. Non trattarla come la tua strategia di protezione dei dati.
L’impostazione che in realtà decide questo: la crittografia dell’intero disco
Ecco la buona notizia. C’è un’impostazione che cambia l’intero risultato, ed è integrata nel sistema operativo che già possiedi.
- macOS: FileVault. Impostazioni di Sistema → Privacy e sicurezza → FileVault.
- Windows: BitLocker / Crittografia dispositivo. Impostazioni → Privacy e sicurezza → Crittografia dispositivo, o Crittografia unità BitLocker sulle edizioni che lo offrono.
Con la crittografia dell’intero disco attivata, l’intera unità è illeggibile senza le tue credenziali. Rimuovila, collegala altrove, avviala da un’USB: non fa differenza, perché non c’è nulla di leggibile da leggere. Il ladro ha l’hardware. Questo è tutto ciò che ha.
Due avvertenze che vale la pena conoscere:
- Non è sempre accesa. Se la crittografia è abilitata fin dall’inizio dipende dalla versione del tuo sistema operativo, dall’edizione, dall’hardware e da come è stata configurata la macchina. Non presumere: apri l’impostazione e guarda.
- Protegge i dati a riposo. La crittografia dell’intero disco fa il suo lavoro quando la macchina è spenta. Se il tuo portatile viene rubato dal tavolo di un bar mentre è sveglio e connesso, il disco è già sbloccato. Così come lo è tutto ciò che vi è sopra.
Quella seconda avvertenza è la lacuna in cui cadono direttamente molti furti. I portatili raramente vengono rubati da un cassetto chiuso a chiave alle 3 del mattino. Vengono rubati aperti, a un tavolo, a metà frase.
La seconda serratura: crittografare i file che contano
La crittografia dell’intero disco è il pavimento, non il soffitto. È una serratura, all’esterno dell’edificio, ed è aperta per tutto il tempo in cui usi la macchina.
La soluzione è una seconda serratura separata attorno al piccolo insieme di file che farebbe davvero male perdere: documenti d’identità, registri finanziari, foto private, materiale dei clienti, qualsiasi cosa di legale o medico. Quei file dovrebbero essere crittografati individualmente, dietro le proprie credenziali, in modo che rimangano illeggibili anche quando il computer è sbloccato e in esecuzione.
Questo è il principio alla base della corretta archiviazione di file sensibili su Windows e Mac: la minoranza sensibile riceve un trattamento più forte rispetto alla maggioranza quotidiana.
Dove si inserisce Vaultine
Vaultine è quella seconda serratura.
- Le proprie credenziali, non l’accesso al sistema operativo. La cassaforte rimane bloccata dietro la tua sequenza o il tuo PIN. L’accesso al portatile non la apre, quindi una macchina rubata completamente sveglia non cede comunque la cassaforte.
- Ogni file crittografato individualmente. Ogni file ottiene la propria chiave AES-256. La chiave deriva dalla tua sequenza o dal tuo PIN e non lascia mai il tuo dispositivo.
- Nessun account da acquisire. Non c’è registrazione e non c’è email, quindi non c’è alcun tuo accesso che qualcuno possa dirottare, e nessuna copia dei tuoi file sui nostri server da violare o citare in giudizio.
- Anche la copia cloud è testo cifrato. La tua cassaforte vive sul tuo dispositivo per impostazione predefinita. Se scegli di sincronizzare tramite il tuo Dropbox, vengono caricati solo dati crittografati, quindi un portatile rubato che è ancora connesso a Dropbox non espone nemmeno la cassaforte.
- La stessa cassaforte sugli altri tuoi dispositivi. Windows, macOS, Android e iPhone. Se il portatile è andato, i file non lo sono.
E se essere costretti ad aprirla fa parte del tuo modello di minaccia, un Decoy Vault apre una cassaforte separata, dall’aspetto ordinario con un PIN diverso, mentre un Duress Vault ne apre una vuota e cancella i contenuti reali.
La tua lista di controllo di 20 minuti
Fallo prima di averne bisogno, non dopo:
- Attiva la crittografia dell’intero disco. FileVault su macOS, BitLocker o Crittografia dispositivo su Windows. Conserva la chiave di ripristino in un posto che non sia il portatile.
- Imposta lo schermo in modo che si blocchi velocemente. Da uno a cinque minuti di inattività e richiedi subito la password. Questo è ciò che riduce la finestra «rubato da sveglio».
- Smetti di lasciare che il browser mantenga le tue password. Spostale in un gestore di password dedicato con la propria serratura.
- Abilita Dov’è / Trova il mio dispositivo. Il biglietto della lotteria è gratuito.
- Crittografa i file che farebbero davvero male. Documenti d’identità, registri finanziari, foto private, lavori dei clienti: in una cassaforte con le proprie credenziali.
- Controlla che il tuo backup sia reale. La crittografia protegge i tuoi dati da loro. Un backup li protegge dalla perdita. Vuoi entrambi.
Se è già andato
Lavora in questo ordine, perché il primo elemento sblocca tutti gli altri:
- Cambia la password della tua email principale e disconnettiti da tutte le sessioni. L’email è il percorso di ripristino per ogni altro account che possiedi.
- Cambia le password per l’archiviazione cloud, le operazioni bancarie e qualsiasi cosa salvata nel browser. I token di sessione sopravvivono ai cambi di password su alcuni servizi, quindi disconnettiti ovunque.
- Scollega il dispositivo dall’archivio cloud e dal gestore di password in modo che la copia sincronizzata smetta di aggiornarsi.
- Attiva la cancellazione remota. Potrebbe arrivare. Non costa nulla provare.
- Presenta una denuncia alla polizia. Avrai bisogno del riferimento per l’assicurazione e per qualsiasi fornitore di account a cui devi spiegarlo.
- Attiva la crittografia sulla macchina sostitutiva il primo giorno, prima di copiare i tuoi file.
In sintesi
Un portatile rubato è solo un problema hardware se i dati su di esso erano illeggibili. Altrimenti è un problema di identità, un problema finanziario e un problema di privacy che indossa i vestiti di un problema hardware.
La crittografia dell’intero disco è l’impostazione di maggior valore sulla tua macchina e ci vogliono circa due minuti per attivarla. Poi metti una seconda serratura attorno ai file che odieresti che uno sconosciuto aprisse, perché il momento che conta è quello in cui il portatile era già sbloccato.
Inizia con i file che farebbero più male: Vaultine crittografa i tuoi primi file gratuitamente.
