Perder um portátil parece como perder um objeto. Avalia o custo da substituição, reclama do valor da franquia do seguro e segue em frente. Mas o hardware geralmente é a coisa mais barata da bolsa. A verdadeira questão é o que a pessoa que o está a segurar pode ler — e para a maioria dos portáteis, a resposta honesta é tudo.
Aqui está o que realmente acontece aos seus dados depois que um portátil é levado, e a única configuração que decide se algo disso importa.
A sua palavra-passe de login é uma porta, não um cofre
Este é o mal-entendido que causa mais danos.
Uma palavra-passe de login do Windows ou do macOS decide quem pode entrar no sistema operativo em execução. Ela não faz nada com os bytes na unidade. Se o disco não estiver encriptado, um ladrão tem duas maneiras triviais de contorná-la:
- Retire a unidade. Os portáteis modernos dificultam isso, mas onde o armazenamento é removível, ele pode ser ligado a outro computador como um disco externo. O outro computador não tem ideia de que a sua palavra-passe existe. Ele apenas vê ficheiros.
- Inicialize a partir de outra coisa. Inicie a máquina de um instalador USB ou pen Linux ao vivo e estará a navegar na unidade interna sem nenhum aviso de login à vista.
Nenhuma das duas coisas requer habilidade especial. Ambas são guias passo a passo na internet aberta. Uma palavra-passe de login detém o seu companheiro de quarto; ela não detém alguém que tem a máquina numa mesa com uma chave de fendas e uma tarde livre.
O que eles realmente podem ler
Suponha que a unidade não esteja encriptada. Aqui está o inventário realista de um portátil de trabalho normal:
- A sua pasta de documentos — declarações de impostos, recibos de vencimento, contratos, cópias do seu passaporte e carta de condução. Os ficheiros que a maioria das pessoas nunca deveria manter sem encriptação estão, estatisticamente, sentados bem ali.
- As suas fotografias — incluindo aquelas que moveu para uma pasta «oculta» ou de nome estranho, que não está oculta em nenhum sentido significativo. Uma caixa de seleção no gestor de ficheiros as revela.
- O seu perfil de navegador — palavras-passe salvas, endereços de preenchimento automático e detalhes do cartão, cookies e os tokens de sessão que podem manter alguém ligado às suas contas sem nunca precisar da palavra-passe.
- As suas pastas de nuvem sincronizadas — as cópias locais do Dropbox, OneDrive, Google Drive e iCloud Drive ficam no disco de forma simples e legível, e as aplicações de desktop geralmente ainda estão ligadas.
- As suas mensagens — aplicações de chat em desktop mantêm o histórico local. Anos de conversa, pesquisáveis.
Esse último par é a armadilha. As pessoas pensam num portátil roubado como perder o que estava no portátil. Na prática, muitas vezes é um conjunto de chaves para contas que vivem num lugar totalmente diferente.
«Mas eu posso apenas fazer uma limpeza remota»
Pode tentar, e deveria. Find My no macOS e Localizar O Meu Dispositivo no Windows podem sinalizar para que uma máquina seja apagada.
O porém é que um comando de limpeza não é uma varinha mágica. Ele fica numa fila e é executado quando o portátil se ligar à internet pela próxima vez. Um ladrão que mantém a tampa fechada, ou que limpa e reinstala antes mesmo de entrar numa rede, nunca recebe a mensagem. Alguém que só quer o disco nem precisa de ligar o portátil.
Trate a limpeza remota como um bilhete de lotaria que fica feliz em ter. Não a trate como a sua estratégia de proteção de dados.
A configuração que realmente decide isso: encriptação de disco inteiro
Aqui está a boa notícia. Há uma configuração que muda todo o resultado e ela está integrada ao sistema operativo que já possui.
- macOS: FileVault. Definições do Sistema → Privacidade e Segurança → FileVault.
- Windows: BitLocker / Encriptação de dispositivo. Definições → Privacidade e segurança → Encriptação de dispositivo, ou Encriptação de Unidade BitLocker nas edições que a oferecem.
Com a encriptação de disco inteiro ativada, a unidade inteira fica ilegível sem as suas credenciais. Remova-a, ligue-a a outro lugar, inicialize de um USB — não faz diferença, porque não há nada legível a ser lido. O ladrão tem hardware. Isso é tudo que ele tem.
Duas ressalvas que valem a pena saber:
- Nem sempre está ativada. Se a encriptação está habilitada de fábrica depende da versão do sistema operativo, edição, hardware e como a máquina foi configurada. Não presuma — abra a configuração e olhe.
- Protege dados em repouso. A encriptação de disco inteiro faz o seu trabalho quando a máquina está desligada. Se o seu portátil for levado da mesa de um café enquanto estiver acordado e logado, o disco já está desbloqueado. E tudo o que estiver nele também.
Essa segunda ressalva é a lacuna pela qual muitos furtos passam direto. Os portáteis raramente são roubados de uma gaveta trancada às 3h da manhã. Eles são roubados abertos, numa mesa, no meio de uma frase.
O segundo bloqueio: encriptar os ficheiros que importam
A encriptação de disco inteiro é o piso, não o teto. É uma fechadura, na parte externa do prédio, e fica aberta durante todo o tempo em que usa a máquina.
A solução é um segundo bloqueio separado em torno do pequeno conjunto de ficheiros que faria uma dor genuína se perdesse: documentos de identidade, registos financeiros, fotografias privadas, material do cliente, qualquer coisa legal ou médica. Esses ficheiros devem ser encriptados individualmente, atrás de sua própria credencial, de modo que permaneçam ilegíveis mesmo quando o computador estiver desbloqueado e em execução.
Esse é o princípio por trás de armazenar ficheiros confidenciais com segurança no Windows e no Mac: a minoria confidencial recebe tratamento mais forte do que a maioria de uso diário.
Onde o Vaultine se encaixa
O Vaultine é essa segunda fechadura.
- A sua própria credencial, não o login do seu sistema operativo. O cofre permanece bloqueado por trás do seu padrão ou PIN. Fazer login no portátil não o abre, então uma máquina roubada totalmente acordada ainda não entrega o cofre.
- Cada ficheiro encriptado individualmente. Cada ficheiro recebe a sua própria chave AES-256. A chave é derivada do seu próprio padrão ou PIN e nunca sai do seu dispositivo.
- Nenhuma conta a assumir. Não há registo e nenhum e-mail, então não há nenhum login seu para alguém roubar — e nenhuma cópia dos seus ficheiros nos nossos servidores para ser violada ou intimada.
- A cópia na nuvem também é texto cifrado. O seu cofre fica no seu dispositivo por padrão. Se optar por sincronizar pelo seu próprio Dropbox, apenas os dados encriptados vão para cima — portanto, um portátil roubado que ainda esteja ligado ao Dropbox também não expõe o cofre.
- O mesmo cofre nos seus outros dispositivos. Windows, macOS, Android e iPhone. Se o portátil sumir, os ficheiros não sumirão.
E se ser forçado a abri-lo for parte do seu modelo de ameaça, um Decoy Vault abre um cofre separado de aparência comum com um PIN diferente, enquanto um Duress Vault abre um vazio e apaga os conteúdos reais.
A sua lista de verificação de 20 minutos
Faça isso antes de precisar, não depois:
- Ative a encriptação de disco inteiro. FileVault no macOS, BitLocker ou Encriptação de dispositivo no Windows. Guarde a chave de recuperação num lugar que não seja o portátil.
- Configure o ecrã para bloquear rapidamente. De um a cinco minutos ocioso e exija a palavra-passe imediatamente. Isso é o que reduz a janela de «roubado enquanto estava acordado».
- Pare de deixar o navegador guardar as suas palavras-passe. Mova-as para um gestor de palavras-passe dedicado com o seu próprio bloqueio.
- Habilite Find My / Localizar O Meu Dispositivo. O bilhete de lotaria é gratuito.
- Encripte os ficheiros que realmente magoariam. Identidades, registos financeiros, fotografias particulares, trabalho de clientes — num cofre com a sua própria credencial.
- Verifique se o seu backup é real. A encriptação protege os seus dados deles. Um backup protege contra a perda. Quer ambos.
Se já se foi
Trabalhe nesta ordem, porque o primeiro item desbloqueia todos os outros:
- Altere a sua palavra-passe de e-mail principal e saia de todas as sessões. O e-mail é o caminho de redefinição para todas as outras contas que possui.
- Altere as palavras-passe do armazenamento na nuvem, operações bancárias e qualquer coisa salva no navegador. Os tokens de sessão sobrevivem às alterações de palavra-passe nalguns serviços, então desligue-se de todos os lugares também.
- Desvincule o dispositivo do seu armazenamento na nuvem e gestor de palavras-passe para que a cópia sincronizada pare de ser atualizada.
- Acione a limpeza remota. Ela pode funcionar. Não custa nada tentar.
- Faça queixa na polícia. Precisará da referência para o seguro e para qualquer fornecedor de conta para o qual precise de explicar isso.
- Ligue a encriptação na máquina de reposição no primeiro dia — antes de copiar os seus ficheiros de volta.
O resumo
Um portátil roubado é apenas um problema de hardware se os dados nele estiverem ilegíveis. Caso contrário, é um problema de identidade, um problema financeiro e um problema de privacidade a vestir roupas de problema de hardware.
A encriptação de disco inteiro é a configuração única de maior valor na sua máquina e leva cerca de dois minutos para ligar. Em seguida, coloque uma segunda fechadura ao redor dos ficheiros que odiaria que um estranho abrisse — porque o momento que importa é aquele em que o portátil já estava desbloqueado.
Comece com os ficheiros que mais doeriam — O Vaultine encripta os seus primeiros ficheiros gratuitamente.
