Sülearvuti ja telefoni turvaline kasutamine

Moodul 5: Seadmed, tarkvara ja võrk · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda õppetundi oskad kaitsta sülearvuteid ja telefone kadumise, varguse ja pahavara eest ning tead, mida teed esimese tunni jooksul, kui seade on kadunud.
Põhimõisted: ekraanilukk, kettakrüpteerimine, taastevõti, seadme otsimine ja kustutamine, sisseehitatud turvalisus, tavakasutaja, administraatorikonto, rakenduse õigused, kaughaldus (MDM)

Seade on võtmekimp

Ettevõtja sülearvutis või telefonis ei ole ainult failid. Seal on ka sisselogitud seansid e-posti, raamatupidamise ja panga jaoks, salvestatud paroolid, autentimisrakendus kaheastmelise autentimise jaoks, kliendiandmed allalaadimiste kaustas ja fotod passidest, mida keegi "lihtsalt korraks" saatis. Kadunud või varastatud seade on seetõttu peaaegu alati enamat kui lihtsalt kulu. See võib anda ligipääsu kogu su ettevõttele ja olla andmeleke (õppetund 8.2).

Riske on kahte liiki, erinevate meetmetega:

Ekraanilukk: esimene uks

Ilma lukustuseta saab igaüks, kes su seadme kätte võtab, kohe jätkata sealt, kus sina pooleli jätsid. Seadista seega:

• PIN-kood või parool igal seadmel, biomeetriaga (sõrmejälg või nägu) mugavuse lisana. Kuue numbri või pikem PIN on palju tugevam kui nelja numbri oma; mustrilukk on sageli ekraanil olevate jälgede järgi äratuntav;
• automaatne lukustumine mõne minuti mittekasutamise järel;
• harjumus ise lukustada, kui lähed eemale. Windowsis on see Windowsi klahv + L, Macis Control + Command + Q;
• lukustuskuval kuvatavate teadete piiramine. Sisselogimiskood sõnumina või osa konfidentsiaalsest kirjast ei pea olema nähtav neile, kes näevad su telefoni laual lebamas.

Kettakrüpteerimine: see, mida varas ei saa lugeda

Ekraanilukk peatab juhusliku möödakäija, aga mitte aega omava varga. See saab sülearvutist ketta välja võtta ja seda teises arvutis lugeda. Selle stsenaariumi vastu aitab kettakrüpteerimine: kõik salvestusruumis olevad andmed krüpteeritakse võtmega, mis vabaneb alles siis, kui sa sisse logid. Ilma selle võtmeta on ketas lihtsalt loetamatute märkide kogum.

Krüpteerimisega käib kaasas taastevõti: pikk kood, millega pääsed andmetele ligi, kui parool enam ei tööta või pärast seadme suurt muudatust. Hoia seda võtit kohas, mis on sulle kättesaadav ka siis, kui sülearvuti ise on kadunud, näiteks paroolihalduris või sinu organisatsiooni kontol. Taastevõti sedelil sülearvutikotis on sama kasulik kui majavõti uksematti all.

Miks see isikuandmete kaitse üldmääruse (GDPR) seisukohast loeb: kui kaotad krüpteeritud seadme, mille võti on turvaliselt hoitud, on andmete väärkasutamise tõenäosus väike. Krüpteerimata sülearvutiga, millel on kliendiandmed, on lugu teine. Kuidas seda hinnata, õpid õppetunnis 8.2.

Kadunud? Esimene tund

Seadista see nüüd valmis, siis toimib see, kui vaja läheb:

1. Lülita sisse kaugotsimine ja -kustutamine. Apple'il, Google'il ja Microsoftil on kõigil funktsioon, millega näidata seadet kaardil, panna see piiksuma, lukustada see ja kustutada selle sisu. See toimib ainult siis, kui see on eelnevalt sisse lülitatud.
2. Tea, kust selleks sisse logida, ja kindlusta, et saad seda teha ka ilma kadunud seadmeta. Kui kaheastmeline autentimine on ainult sellel telefonil, vajad taastekoode (õppetund 2.3).

Kui seade on kadunud:

1. Lukusta see kaugjuhtimisega ja kuva sõnum koos telefoninumbriga.
2. Tühista seansid oma tähtsaimates teenustes: e-post, pilvesalvestus, raamatupidamine. Nextcloudis saad näiteks seadme kaupa ligipääsu tühistada või käskida seadmel selle teenuse andmed kustutada.
3. Muuda paroole kontodel, mis olid seadmel avatud, mõnes teises, puhtas seadmes.
4. Kustuta seade kaugjuhtimisega, kui sa seda kiiresti tagasi ei leia.
5. Hinda ja dokumenteeri, kas sellel oli isikuandmeid, ning varguse korral esita avaldus politseile.

Pahavara: sisseehitatud turvalisus ja minimaalsed õigused

Kaasaegsel sülearvutil või telefonil on juba palju turvalisust pardal: Windowsil on Microsoft Defender, macOS-il on oma programmikontrollid ning Apple'i ja Google'i rakenduste poed kontrollivad rakendusi enne nende pakkumist. Eraldi viirusetõrjepakett võib pakkuda lisafunktsioone, aga kõige tähtsam on, et sisseehitatud turvalisus on sisse lülitatud ja uuendatud.

Kaks harjumust teevad suure vahe:

• Töö igapäevaselt tavakasutajana, mitte administraatorina. Pahavara, mille kogemata käivitad, saab samad õigused, mis sinul on. Tavakasutajana saab see palju vähem teha: ei saa tarkvara installida, süsteemiseadeid muuta ega turvalisust välja lülitada. Kui vajad kordki administraatoriõigusi, küsib süsteem administraatori parooli. See mõttehetk ongi mõeldud.
• Installi ainult ametlikust rakenduste poest või tegija veebilehelt. Androidil tähendab see, et jätad "tundmatutest allikatest installimise" väljalülitatuks. Pettused abipalve-skeemide või võlts-pangateadete puhul saadavad meelsasti lingi "rakendusele", mis tegelikult võtab su ekraani üle.

Rakenduse õigused: mida tohib rakendus?

Iga rakendus küsib õigusi: kaamera, mikrofon, asukoht, kontaktid, failid. Taskulambi rakendusel, mis tahab ligipääsu su kontaktidele, pole selleks head põhjust. Vaata kord kvartalis üle õigused oma telefoni seadetes:

• luba asukoht ainult "kasutamise ajal", mitte alati;
• tühista ligipääs kontaktidele ja failidele rakendustel, mis seda ei vaja. Su kontaktid on teiste inimeste isikuandmed;
• eemalda rakendused, mida enam ei kasuta;
• pööra erilist tähelepanu rakendustele, mis küsivad juurdepääsetavuse õigusi või ekraani jagamist. Nendega saab rakendus näha ja klõpsata kõike, mida sina näed.

Rohkem seadmeid? Kaughaldus

Kui töötad mõne inimese või rohkematega, muutub "igaüks korraldab ise" raskesti kontrollitavaks. Kaughaldusega (Mobile Device Management, MDM) seadistad kesksel kohal, et iga seade on krüpteeritud, omab lukustust, saab uuendusi ning on kaugelt kustutatav. On lahendusi, mis on sisseehitatud suurtesse ärilistesse kontoripakettidesse, eraldi teenuseid ja avatud lähtekoodiga lahendusi. Töötajate enda telefonide puhul (bring your own device) saad sageli hallata ainult ärilist osa, nii et sa ei pääse kellegi isiklikele fotodele ligi.

Ka ilma MDM-ita saad kokku leppida reeglites ja need korra aastas koos üle vaadata. Ülesandes olev kontrollnimekiri aitab selles.

Praktikas: nii see välja näeb

Nextcloudis, nagu WebOké seda pakub, on jaotises Seaded, Turvalisus nimekiri Seadmed ja seansid. Seal näed iga brauserit, rakendust ja iga rakenduseparooli, millel on ligipääs. Kolme punkti kaudu saad ühe seadme ligipääsu tühistada või käskida seadmel Nextcloudi andmed kustutada, kui see uuesti ühenduse loob. Teistel pilveteenustel kannab see sageli nime "seadmed", "seansid" või "turvaülevaade" ja töötab sarnaselt.

Kokkuvõte

• Seade on võtmekimp: sellel on seansid, paroolid ja 2FA-rakendus.
• Lukustu automaatselt, kasuta tugevat PIN-koodi ja piira lukustuskuva teateid.
• Lülita sisse kettakrüpteerimine ja hoia taastevõtit mujal kui seadme juures.
• Lülita eelnevalt sisse kaugotsimine ja -kustutamine; kaotuse korral: lukusta, tühista seansid, muuda paroole, kustuta, hinda olukorda.
• Tööta tavakasutajana, installi ainult ametlikest allikatest ja vaata rakenduse õigused üle.

Test

Ülesanne

Ülesanne D5.2: sinu sülearvuti ja telefoni ülevaatus. Kontrolli oma sülearvutil ja telefonil lukustust, kettakrüpteerimist, taastevõtit, kaugotsimist ja -kustutamist, konto tüüpi ja rakenduste õigusi. Märgi kontrollnimekiri täidetuks ja kirjuta üles, mida teeksid, kui su telefon homme varastatakse.

Lisalugemist

WebOké artiklite sammud kehtivad WebOké keskkonna kohta; teiste pakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 3.6: Seadmete ja sessioonide vaatamine, tühistamine või kaugkustutamine
• Nextcloudi juhend 3.10: Telefon kadunud või 2FA kadunud: nii pääsed uuesti sisse
• WebOké juhend 3.6: Aktiivsete seansside vaatamine ja väljalogimine
• Riigi Infosüsteemi Amet (RIA), mobiilsed seadmed: https://www.ria.ee/
• Microsoft, seadme krüpteerimine Windowsis: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, pääsukoodid ja andmekaitse (inglise keeles): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web