Модул 5 · 5.2
Безопасно използване на лаптоп и телефон
Модул 5: Устройства, софтуер и мрежа · Време за четене: 10 минути
Учебна цел: След този урок ще можете да защитите лаптопи и телефони срещу загуба, кражба и malware, и ще знаете какво да направите в първия час, ако устройство бъде изгубено.
Ключови понятия: заключване на екрана, криптиране на диска, ключ за възстановяване, търсене и изтриване на устройство от разстояние, вградена защита, стандартен потребител, администраторски акаунт, права на приложенията, управление от разстояние (MDM)
Устройството е връзка с ключове
На лаптопа или телефона на един предприемач не стоят само файлове. Там има и активни сесии на имейл, счетоводство и банка, запазени пароли, приложението за удостоверяване за двуфакторно удостоверяване, данни на клиенти в папката за изтегляния и снимки на паспорти, които някой „просто“ е изпратил. Изгубено или откраднато устройство затова почти винаги е нещо повече от финансова загуба. То може да даде достъп до целия Ви бизнес и може да представлява нарушение на сигурността на данните (урок 8.2).
Има два вида рискове с различни мерки:
| Риск | Пример | Най-важни мерки |
|---|---|---|
| Физически | Лаптоп е забравен във влака, телефон е откраднат на терасата на кафе | Заключване на екрана, криптиране на диска, търсене и изтриване от разстояние |
| Цифров | Malware чрез прикачен файл, фалшиво приложение, остаряла програма | Актуализации (урок 5.1), вградена защита, без администраторски права, права на приложенията |
Заключване на екрана: първата врата
Без заключване всеки, който вземе Вашето устройство, може веднага да продължи оттам, където сте спрели. Затова настройте:
- ПИН код или парола на всяко устройство, с биометрия (отпечатък или лице) като допълнително удобство. ПИН код от шест цифри или повече е много по-силен от четири; шаблон с плъзгане често може да се разчете по следите по екрана;
- автоматично заключване след няколко минути неизползване;
- навикът да заключвате сами, когато се отдалечавате. В Windows това е Windows клавиш + L, на Mac Control + Command + Q;
- ограничаване на известията на заключения екран. Код за вход по SMS или част от поверителен имейл не трябва да е видим за всеки, който вижда телефона Ви на масата.
Криптиране на диска: това, което крадецът не може да прочете
Заключването на екрана спира случаен минувач, но не и крадец с достатъчно време. Той може да извади диска от лаптопа и да го прочете на друг компютър. Срещу този сценарий помага криптирането на диска: всички данни на носителя се криптират с ключ, който се освобождава едва когато влезете в системата. Без този ключ дискът представлява набор от нечетими символи.
| Устройство | Как се нарича | Какво трябва да знаете |
|---|---|---|
| Windows | BitLocker (Pro, Enterprise, Education) или Device Encryption (и на Windows Home, при подходящи устройства) | Device Encryption се включва автоматично, ако при настройването влезете с акаунт на Microsoft или служебен/учебен акаунт; с локален акаунт не. Проверете в Поверителност и защита (Security). |
| Mac | FileVault | Включва се в системните настройки, в Поверителност и защита. |
| iPhone и iPad | Data Protection | Включва се автоматично веднага щом зададете код за достъп. |
| Android | Криптиране на устройството | По подразбиране е включено на съвременните телефони; проверете в Security. |
Към криптирането принадлежи и ключ за възстановяване: дълъг код, с който имате достъп до данните, ако паролата Ви вече не работи или след голяма промяна по устройството. Съхранявайте този ключ на място, до което имате достъп дори ако самият лаптоп липсва, например във Вашия мениджър на пароли или в акаунта на организацията Ви. Ключ за възстановяване на бележка в чантата за лаптопа е толкова полезен, колкото ключ за къщата под изтривалката.
Защо това има значение за GDPR (ОРЗД): ако изгубите криптирано устройство, чийто ключ е безопасно съхранен, вероятността за злоупотреба с данните е малка. При некриптиран лаптоп с данни на клиенти ситуацията е различна. Как да оцените това, ще научите в урок 8.2.
Изгубено? Първият час
Настройте го сега, за да работи, когато потрябва:
- Включете търсене и изтриване от разстояние. Apple, Google и Microsoft имат всеки по една функция за показване на устройството на картата, пускане на звук, заключване и изтриване. Тя работи само ако е включена предварително.
- Знайте къде влизате, за да направите това, и се уверете, че можете да го направите и без изгубеното устройство. Ако двуфакторното Ви удостоверяване е само на този телефон, ще Ви трябват резервните кодове за възстановяване (урок 2.3).
Ако устройството е изгубено:
- Заключете го от разстояние и покажете съобщение с телефонен номер.
- Прекратете сесиите в най-важните Ви услуги: имейл, облачно съхранение, счетоводство. В Nextcloud например можете да прекратите достъпа за отделно устройство или да наредите на устройството да изтрие данните от тази услуга.
- Сменете паролите на акаунтите, които са били отворени на устройството, от друго, чисто устройство.
- Изтрийте устройството от разстояние, ако не го намерите бързо.
- Оценете и документирайте дали на него е имало лични данни, и подайте сигнал в полицията при кражба.
Malware: вградена защита и минимални права
Съвременен лаптоп или телефон вече разполага с много вградена защита: Windows има Microsoft Defender, macOS има собствени проверки на програмите, а магазините за приложения на Apple и Google проверяват приложенията, преди да бъдат предложени. Отделен антивирусен пакет може да предложи допълнителни функции, но най-важното е вградената защита да е включена и да се актуализира.
Два навика правят голяма разлика:
- Работете ежедневно като стандартен потребител, не като администратор. Malware, който случайно стартирате, получава същите права като Вас. Като стандартен потребител той може много по-малко: не може да инсталира софтуер, да променя системни настройки или да изключва защитата. Ако веднъж Ви потрябват администраторски права, системата ще поиска администраторската парола. Този момент на замисляне е именно целта.
- Инсталирайте само от официалния магазин за приложения или от сайта на производителя. На Android това означава: оставете изключена опцията „инсталиране от неизвестни източници“. При измами с молба за помощ или фалшиви банкови известия измамниците обичат да изпращат линк към „приложение“, което всъщност поема контрол над екрана Ви.
Права на приложенията: какво има право да прави едно приложение?
Всяко приложение иска права: камера, микрофон, местоположение, контакти, файлове. Приложение за фенерче, което иска достъп до контактите Ви, няма добра причина за това. Прегледайте веднъж на тримесечие правата в настройките на телефона си:
- дайте достъп до местоположение само „по време на използване“, не постоянно;
- оттеглете достъпа до контакти и файлове на приложения, които нямат нужда от него. Вашите контакти са лични данни на други хора;
- премахнете приложения, които вече не използвате;
- обръщайте специално внимание на приложения, които искат права за достъпност (accessibility) или споделяне на екрана. С тях приложение може да вижда и натиска всичко, което виждате Вие.
Повече устройства? Управление от разстояние
Ако работите с няколко души или повече, „всеки се оправя сам“ става трудно за контрол. С управление от разстояние (Mobile Device Management, MDM) централно задавате, че всяко устройство е криптирано, има заключване, получава актуализации и може да бъде изтрито от разстояние. Съществуват решения, вградени в големите бизнес офис пакети, самостоятелни услуги и решения с отворен код. За телефони на самите служители (bring your own device) често можете да управлявате само служебната част, така че да нямате достъп до личните снимки на човека.
Дори без MDM можете да направите договорки и да ги преглеждате заедно веднъж годишно. Контролният списък в задачата ще Ви помогне за това.
На практика: ето как изглежда
В Nextcloud, както го предлага WebOké, под Настройки, Security има списък Devices & sessions. Там виждате всеки браузър, приложение и всяка парола за приложение, които имат достъп. Чрез трите точки можете да оттеглите достъпа на отделно устройство или да наредите на устройството да изтрие данните от Nextcloud веднага щом се свърже отново. При други облачни услуги това често се нарича „devices“, „sessions“ или „преглед на сигурността“ и работи по подобен начин.
Обобщение
- Устройството е връзка с ключове: на него стоят сесии, пароли и приложението за 2FA.
- Заключвайте автоматично, използвайте силен ПИН код и ограничете известията на заключения екран.
- Включете криптиране на диска и съхранявайте ключа за възстановяване на място, различно от самото устройство.
- Включете предварително търсене и изтриване от разстояние; при загуба: заключване, прекратяване на сесии, смяна на пароли, изтриване, оценка.
- Работете като стандартен потребител, инсталирайте само от официални източници и преглеждайте правата на приложенията.
Тест
Задача
Задача D5.2: Проверка на Вашия лаптоп и телефон. Проверете на собствения си лаптоп и телефон заключването, криптирането на диска, ключа за възстановяване, търсенето и изтриването от разстояние, типа на акаунта си и правата на приложенията. Отметнете контролния списък и запишете какво бихте направили, ако телефонът Ви бъде откраднат утре.
Задача D5.2: Проверка на Вашия лаптоп и телефон
Ето как да действате: (1) Заключване: задайте пин код от поне шест цифри или парола, автоматично заключване след максимум 5 минути, и ограничете известията на заключения екран. (2) Шифроване на диска: проверете на лаптопа си дали BitLocker или Device Encryption (Windows), или FileVault (Mac) е включено; на телефона проверете дали шифроването е включено (iPhone: включено автоматично щом има код за достъп). (3) Ключ за възстановяване: проверете къде е съхранен ключът за възстановяване на лаптопа Ви и уверете се, че имате достъп до него без този лаптоп. Не въвеждайте никъде в курса самия ключ. (4) Търсене и изтриване от разстояние: включете функцията за търсене на операционната система и проверете от друго устройство, че можете да видите лаптопа и телефона си. (5) Тип на акаунта: проверете дали ежедневният Ви акаунт е стандартен потребител. Ако е администраторски, създайте отделен администраторски акаунт и направете ежедневния акаунт стандартен (или запишете защо това засега не е възможно). (6) Вградена защита: проверете дали вградената защита (например Microsoft Defender) е включена и актуализирана. (7) Права на приложенията: прегледайте на телефона правата за локация, контакти, камера, микрофон, файлове и достъпност. Оттеглете ненужните. Изтрийте приложенията, които не ползвате. (8) Сесии: прегледайте в пощата или облачното съхранение списъка с устройства и сесии (например в Nextcloud при *Устройства и сесии*) и оттеглете старите устройства.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Още за четене
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.
- Nextcloud наръчник 3.6: Преглед, отнемане или дистанционно изтриване на устройства и сесии
- Nextcloud наръчник 3.10: Изгубен телефон или изгубена двуфакторна автентикация: ето как да влезете отново
- Ръководство на WebOké 3.6: Преглед на активни сесии и изход
- Национален екип за реагиране при инциденти (CERT България), мобилни устройства: https://govcert.bg/
- Microsoft, Device Encryption в Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
- Apple, кодове за достъп и защита на данните (на английски): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web