Telefonkryptering omtalas ofta som ett enkelt faktum: din telefon är krypterad, alltså är den säker. Det är sant, men det är inte hela historien. Den typ av telefonstöld som faktiskt inträffar oftast — ett ryck från ett bord, en stöld ur handen, en telefon som lyfts ur en ouppmärksam ficka mitt under skrollandet — kringgår den krypteringen helt och hållet, eftersom telefonen aldrig var låst från första början.
Den del som faktiskt är löst
Ge erkännande där det förtjänas: moderna telefoner hanterar kryptering i vila väl, som standard, utan att fråga. iPhone använder hårdvarubaserad kryptering knuten till enhetens Secure Enclave; Android har använt filbaserad kryptering som standard sedan Android 10. När en telefon är låst ger ett försök att plocka ut lagringschippet och läsa det direkt angriparen oläslig data, inte en fillista. Detta är ett verkligt, moget skydd som är påslaget automatiskt; det finns ingen motsvarighet till ”kom ihåg att slå på FileVault” som det gör på bärbara datorer.
Den del som inte är det: telefonen var redan upplåst
Här är luckan som kryptering i vila inte rör: de flesta telefonstölder riktar sig inte mot en låst telefon som ligger orörd. De riktar sig mot en telefon i någons hand, upplåst och i full användning, när den rycks. En cyklist rycker den från ett kafébord mitt under skrollandet. En ficktjuv lyfter den ur en öppen ficka medan den fortfarande är inloggad på allt sedan tio minuter tillbaka. I vart och ett av dessa fall är telefonens egen kryptering irrelevant, eftersom tjuven inte försöker bryta sig in. De har den redan öppen.
Vad som kan nås i det ögonblicket är i praktiken allt som telefonen redan var inloggad på: meddelandeapparna, bildbiblioteket, e-post, de bank- eller betalappar som inte hade ett eget separat lås, och alla lösenord eller kortnummer som webbläsaren hade sparat och fyllde i på begäran. Inget av det krävde att man knäckte någon kryptering. Det krävde ingenting alls, eftersom upplåsningen redan hade skett innan stölden ägde rum.
Låsskärmsläckan som de flesta inte stänger av
Även en genuint låst, stulen telefon kan läcka mer än väntat genom en inställning som ofta förbises: förhandsvisning av notiser. Fullständig meddelandetext och, ännu värre, tvåfaktorsautentiseringskoder visas ofta direkt på låsskärmen som standard, läsbara för vem som helst som håller i telefonen utan att någonsin låsa upp den. En tjuv (eller vem som helst som tillfälligt har enheten i sin hand) behöver inte din lösenkod för att läsa en engångskod som just kom, om den ligger i klartext på låsskärmen. Att stänga av förhandsvisning av innehåll, så att notiser bara visar ”Nytt meddelande” snarare än dess innehåll, täpper till just denna specifika och lättmissade lucka.
Den första timmen, i ordning
Om en telefon blir stulen spelar snabbhet större roll än nästan allt annat:
- Fjärrlås eller radera den med Hitta min iPhone eller Hitta min enhet från en annan enhet, omedelbart, innan tjuven hinner stänga av platstjänster eller återställa telefonen.
- Spärra SIM-kortet via din operatör, så att det inte kan ta emot samtal eller verifierings-sms som kan användas för att ta över andra konton.
- Byt lösenord för din e-post först, från en annan enhet. E-post är återställningsmetoden för de flesta andra konton, så att säkra den först begränsar hur långt stölden kan spridas.
- Granska och återkalla aktiva sessioner på dina viktigaste konton (bank, primär e-post, lösenordshanterare) från en webbläsare, eftersom en telefon som var inloggad kan ha lämnat kvar aktiva sessioner som ett lösenordsbyte ensamt inte avslutar.
- Kontrollera vad som fanns sparat för autofyllning i telefonens webbläsare; sparade kort och adresser är ofta det som är mest omedelbart användbart på en stulen, upplåst telefon.
Där ett andra lås faktiskt hjälper
Detta är den specifika lucka som en valvapp med en egen oberoende PIN-kod är byggd för: den förlitar sig inte alls på telefonens eget låsläge. Om en telefon rycks upplåst skulle operativsystemets låsskärm ändå aldrig hjälpa, eftersom den redan kringgicks genom själva stölden. Filer inuti ett separat valv, skyddade av sin egen PIN-kod, förblir låsta oavsett om telefonen runt dem var öppen när den togs.
För den skarpare versionen av detta hot — att fysiskt tvingas låsa upp en telefon snarare än att få den stulen obevakad — ger ett Decoy Vault eller Duress Vault ett lugnare alternativ än att antingen vägra eller lämna över allt: ett valv byggt för att visas upp, eller ett byggt för att försvinna i samma stund som det öppnas under tvång.
Den korta versionen
En stulen telefons egen kryptering är stark precis när du förväntar dig det: medan den är låst. Det realistiska stöldscenariot hoppar förbi det skyddet helt och hållet, eftersom telefonen vanligtvis tas medan den redan är upplåst och används, inte knäcks från ett låst läge. Att stänga av förhandsvisningar på låsskärmen, kunna stegen för den första timmen utantill och hålla de filer som faktiskt skulle göra skada bakom ett andra, oberoende lås täcker den del som telefonens egen säkerhet aldrig var utformad för att nå. (Se Vad händer med din data när din bärbara dator blir stulen för samma lucka på datorsidan, där mekaniken skiljer sig men lärdomen är densamma.)
Lägg till ett andra lås som inte är beroende av telefonens eget skärmläge. De första 10 filerna är gratis på vaultine.app.
