丟了筆記型電腦感覺就像是丟了一件物品。您會評估重新買一台的費用，抱怨保險自負額太高，然後翻篇。但對於那個包包來說，硬體通常是裡面最便宜的東西。真正的問題是，那個拿著它的人能看到什麼 —— 對於大多數筆記型電腦來說，誠實的答案是：所有東西。

以下是筆記型電腦被人拿走後，您的資料實際會面臨的情況，以及決定這些情況會不會發生的那一個關鍵設定。

您的登入密碼是一扇門，而不是一個保險箱

這是造成最大破壞的一個誤解。

Windows 或 macOS 的登入密碼決定了誰可以登入正在運作的作業系統。它對磁碟機上的位元組資料沒有任何影響。如果磁碟沒有加密，小偷有兩種輕而易舉的方法可以繞過它：

  • 把磁碟機拆下來。 現代筆記型電腦讓這變得更難了，但只要儲存裝置是可拆卸的，就可以把它當作外部磁碟連接到另一台電腦上。另一台電腦根本不知道您密碼的存在。它看到的只有檔案。
  • 從其他裝置啟動。 用一個安裝隨身碟或 Linux 啟動磁碟啟動機器，您就可以在沒有任何登入提示的情況下瀏覽內部磁碟機。

這兩種方法都不需要什麼高深的技術。在公開的網際網路上，這兩者都有現成的分步教學。登入密碼能防得住您的室友；但防不住一個拿著螺絲起子、花一個下午時間坐在桌子前的人。

他們實際上能讀到什麼

假設磁碟機沒有加密。以下是一台正常工作筆記型電腦上能被輕易讀取的現實清單：

  • 您的文件資料夾 —— 報稅單、薪資單、合約、護照和駕照掃描檔。統計表明，那些人們絕不應該以未加密狀態保存的檔案，正安安靜靜地躺在那裡。
  • 您的相片 —— 包括那些您移到「隱藏」相簿或改了個奇怪名字的資料夾裡的相片，它們在任何實質意義上都沒有被隱藏。在檔案管理員裡勾選一個選項就能讓它們原形畢露。
  • 您的瀏覽器設定檔 —— 保存的密碼、自動填寫的地址和信用卡資訊、Cookie，以及那些可以讓別人無須密碼就能直接登入您帳號的工作階段權杖（Session tokens）。
  • 您同步的雲端資料夾 —— Dropbox、OneDrive、Google Drive 和 iCloud Drive 的本地端副本以完全可讀的形式存放在磁碟上，而且桌面應用程式通常仍處於登入狀態。
  • 您的訊息 —— 桌面聊天應用程式會保留本地端歷史紀錄。幾年的對話，全部可搜尋。

最後這兩項才是最要命的。人們以為被盜的筆記型電腦失去的僅僅是在這台筆記型電腦上的東西。但實際上，它往往是一把通往您其他所有帳號的萬能鑰匙。

「但我可以直接遠端清除它」

您可以試試，也應該試試。macOS 上的**尋找（Find My）和 Windows 上的尋找我的裝置（Find My Device）**可以標記一台機器進行清除。

但問題是，清除指令並不是魔法棒。它會在佇列中等待，並且只有在筆記型電腦下次連接到網際網路時才會執行。如果小偷一直蓋著蓋子，或者在連網前就抹掉並重裝了系統，它就永遠收不到這條訊息。一個只圖硬體的人甚至根本不需要開機。

把遠端清除當作一張您很樂意持有的彩券。但別把它當作您的資料保護策略。

真正決定命運的設定：全碟加密

好消息來了。有一個設定能改變整個結局，而且它已經內建在您正在使用的作業系統中了。

  • macOS：檔案保險箱 (FileVault)。 系統設定 → 隱私權與安全性 → FileVault。
  • Windows：BitLocker / 裝置加密。 設定 → 隱私權與安全性 → 裝置加密，或者在提供該功能的版本上找到 BitLocker 磁碟機加密。

開啟全碟加密後，如果沒有您的憑證，整個磁碟機將無法讀取。把它拆下來、連接到別處、用隨身碟啟動 —— 都無濟於事，因為根本沒有能讀懂的東西。小偷得到的只有硬體。僅此而已。

但有兩個注意事項您必須知道：

  1. 它並不總是預設開啟的。 加密是否在開箱時就已啟用，取決於您的作業系統版本、受支援的版本、硬體以及機器是如何設定的。別瞎猜 —— 打開設定，親眼看一看。
  2. 它保護的是靜止狀態的資料。 全碟加密是在機器關機時發揮作用的。如果您的筆記型電腦在咖啡館桌子上被搶走，而此時它正處於喚醒且已登入的狀態，磁碟已經解鎖了。它上面的所有東西也是解鎖的。

這第二個漏洞，正是很多竊盜案得逞的原因。筆記型電腦很少是在凌晨 3 點從上鎖的抽屜裡被偷走的。它們被偷時往往是打開的，在桌子上，工作進行到一半。

第二把鎖：加密那些至關重要的檔案

全碟加密是底線，不是上限。它是一把鎖，鎖在建築物的外面，而且在您使用機器的整個過程中，它都是敞開的。

解決辦法是加裝第二把、獨立的鎖，專門鎖住那一小部分真正丟不起的檔案：身分證明、財務紀錄、私密相片、客戶資料，以及任何法律或醫療相關的檔案。這些檔案應該被單獨加密，放在它們自己專屬的憑證後面，這樣即使電腦處於解鎖且運作狀態，它們依然保持著不可讀取的狀態。

這也是在 Windows 和 Mac 上正確儲存敏感檔案背後的原則：少數敏感檔案應該得到比日常檔案更強的保護。

Vaultine 的角色

Vaultine 就是那第二把鎖。

  • 擁有自己獨立的憑證，而不是您的系統登入密碼。 保險庫由您的圖案或 PIN 碼鎖定。登入系統並不會打開它，所以一台在喚醒狀態下被盜的機器依然無法交出保險庫。
  • 每個檔案獨立加密。 每個檔案都會獲得自己專屬的 AES-256 金鑰。金鑰由您自己的圖案或 PIN 碼衍生，且絕不離開您的裝置。
  • 沒有帳號可以被劫持。 沒有註冊，也不需要電子郵件，所以沒有您的登入資訊可供他人劫持 —— 我們的伺服器上也沒有您檔案的副本可以被外洩或被傳喚。
  • 雲端副本同樣是密文。 預設情況下，您的保險庫留在您的裝置上。如果您選擇透過自己的 Dropbox 進行同步，上傳的只有加密資料 —— 所以一台仍然登入著 Dropbox 被盜的筆記型電腦，也不會暴露保險庫。
  • 在您的其他裝置上共享同一個保險庫。 無論是 Windows、macOS、Android 還是 iPhone。即使筆記型電腦丟了，檔案也不會丟。

如果被強迫打開保險庫是您要防範的威脅之一，誘餌保險庫 (Decoy Vault) 可以用另一個 PIN 碼打開一個單獨的、看起來很普通的保險庫，而脅迫保險庫 (Duress Vault) 則會打開一個空保險庫，並清除裡面的真實內容。

您的 20 分鐘行動清單

在災難發生前做這些事，而不是發生後：

  1. 開啟全碟加密。 macOS 上的 FileVault，Windows 上的 BitLocker 或裝置加密。把恢復金鑰存放在筆記型電腦以外的某個地方。
  2. 設定快速鎖定螢幕。 設定為閒置一到五分鐘後自動鎖定，並要求立即輸入密碼。這能最大程度縮短「在喚醒狀態下被盜」的危險空窗期。
  3. 不要再讓瀏覽器保存您的密碼了。 把它們轉移到一個專用的、有獨立鎖的密碼管理員裡。
  4. 啟用尋找 / 尋找我的裝置。 反正這張彩券是免費的。
  5. 加密那些真正要命的檔案。 身分證件、財務紀錄、私密相片、客戶工作資料 —— 把它們放進一個有獨立憑證的保險庫裡。
  6. 檢查您的備份是否真實有效。 加密是為了防範他人偷窺。而備份是為了防範資料遺失。這兩者您都需要。

如果它已經丟了

請按照這個順序進行操作，因為第一項操作是鎖定其他所有內容的鑰匙：

  1. 更改您主電子郵件的密碼並登出所有工作階段。信箱是重設您擁有的每一個其他帳號的途徑。
  2. 更改雲端儲存、銀行以及任何保存在瀏覽器中的帳號密碼。 在某些服務上，工作階段權杖（Session tokens）即使在密碼更改後依然有效，所以也要確保在所有地方都登出登入。
  3. 取消該裝置與您的雲端儲存和密碼管理員的關聯，以切斷同步副本的更新。
  4. 觸發遠端清除。 也許能管用。試一試不花錢。
  5. 向警方報案。 保險理賠時需要用到報案證明，如果您必須向某些帳號服務商解釋情況，也用得上。
  6. 拿到新電腦的第一天就開啟加密 —— 在您把檔案拷貝進去之前。

總結

如果一台被盜筆記型電腦上的資料無法讀取，那這僅僅是一個硬體問題。否則，這就是一個披著硬體問題外衣的身分問題、財務問題和隱私問題。

全碟加密是您機器上價值最高的一個設定，而且只需大約兩分鐘就能開啟。然後，給那些您最不想被陌生人打開的檔案加上第二把鎖 —— 因為真正要命的那個時刻，往往正是筆記型電腦已經處於解鎖狀態的那一刻。

從那些最不能丟的檔案開始 —— Vaultine 免費為您加密前 10 個檔案。