Un laptop rubato o smarrito è fastidioso, un laptop con dati aziendali non protetti può costare caro a un'azienda. Oltre a soluzioni software come firewall e antivirus, i laptop robusti offrono una serie di meccanismi di protezione fisici e a livello di firmware: crittografia SSD secondo OPAL 2.0, il lucchetto Kensington, un BIOS protetto secondo le linee guida NIST, un modulo chip TPM 2.0 e scanner di impronte digitali. Questo articolo presenta i cinque meccanismi, ne confronta i livelli di sicurezza e mostra quali di essi offrono, secondo scheda tecnica, gli attuali laptop Durabook.
OPAL è uno standard per la gestione di unità autocrittografanti. La versione attuale per notebook è OPAL 2.0: una crittografia supportata via software, il cui carico computazionale viene delegato all'SSD stesso, alleggerendo così la CPU. OPAL 2.0 è compatibile con tutti i sistemi operativi comuni e offre una policy di sicurezza gestibile centralmente, inclusi ripristino della password e gestione utenti. Lo svantaggio rispetto a una crittografia completamente basata su hardware: OPAL 2.0 non offre la stessa protezione onnicomprensiva, ma può essere gestita in modo più flessibile durante il funzionamento.
Il lucchetto Kensington è un cavo di sicurezza con lucchetto, con cui i dispositivi mobili possono essere ancorati a un punto fisso. Il meccanismo di sicurezza è stato sviluppato già nel 1992, ma ancora oggi tutti i lucchetti comparabili portano questa denominazione. Le versioni di alta qualità dispongono di prese posizionate appositamente, in modo che uno strappo violento renda il dispositivo inutilizzabile invece di limitarsi ad aprire il lucchetto. Lo svantaggio: il cavo d'acciaio può essere tagliato con un tronchese, e senza un ancoraggio solido sul posto di lavoro il lucchetto offre poca protezione.
Il National Institute of Standards and Technology (NIST) pubblica linee guida di sicurezza per le implementazioni BIOS. Un BIOS protetto secondo tali linee guida riconosce modifiche non autorizzate al proprio codice, che durante l'avvio potrebbero consentire l'esecuzione di software dannoso, e segnala modifiche critiche alla configurazione. Questo meccanismo di protezione agisce quindi prima dell'effettivo avvio del sistema operativo e colma una lacuna che le sole soluzioni software non possono coprire.
Trusted Platform Module (TPM) indica un piccolo chip fisico sulla scheda madre, che funge da ulteriore ancora di sicurezza. TPM 2.0 si occupa tra l'altro della crittografia del disco rigido, della protezione contro la manipolazione del firmware tramite rootkit BIOS, dell'autenticazione biometrica e della trasmissione dello stato del sistema in caso di accesso a servizi cloud. Uno svantaggio dal punto di vista dell'utente: le possibilità di controllo sulle chiavi memorizzate nel TPM sono limitate, il che in caso di guasto o sostituzione del dispositivo può comportare un onere aggiuntivo.
Uno scanner di impronte digitali offre un elevato comfort d'uso e un'identificazione affidabile, senza che gli utenti debbano memorizzare password. In pratica, durante la lettura si verificano occasionalmente errori di riconoscimento, e le impronte digitali possono in linea di principio essere riprodotte. Per l'uso quotidiano con esigenze di protezione moderate, il guadagno in comodità rispetto alle password resta comunque notevole; per ambienti altamente sensibili, lo scanner di impronte digitali dovrebbe essere combinato con un ulteriore fattore, ad esempio un lettore di smart card.
Secondo la scheda tecnica, i tre attuali laptop Durabook si differenziano nettamente per la dotazione di sicurezza. Il Durabook S14I combina di serie un lettore di smart card con un modulo TPM. Sul Durabook S15, uno scanner di impronte digitali e un lettore di smart card possono essere aggiunti opzionalmente tramite il configuratore. Il più datato Durabook S15AB offre TPM 2.0, un lucchetto Kensington nonché opzionalmente un lettore di smart card come dotazione.
Sia il Durabook S15 sia il Durabook S14I si basano su processori Intel® con supporto vPro™. vPro™ di per sé non è un meccanismo di crittografia o protezione degli accessi, ma consente la manutenzione e configurazione remota centralizzata di una flotta di dispositivi, il che rende applicabili le policy di sicurezza a livello aziendale senza dover raggiungere ogni dispositivo singolarmente. Ciò è particolarmente rilevante per i laptop robusti sul campo, perché l'accesso fisico da parte del personale IT è spesso possibile solo raramente.
Oltre alla crittografia dei dati, nei laptop robusti gioca un ruolo anche la protezione fisica degli accessi: chi utilizza sul campo un dispositivo con batteria sostituibile dovrebbe assicurarsi che la chiusura del vano batteria non si possa aprire senza attrezzi. Sono inoltre rilevanti le porte USB disattivabili, con cui si può impedire il trasferimento non autorizzato di dati tramite chiavetta USB, a condizione che il rispettivo sistema operativo o un software di gestione aggiuntivo lo supporti. Per i dispositivi con connettore RS232 o RJ45 opzionale vale lo stesso principio: un connettore non necessario si può in genere disattivare tramite policy, invece di lasciarlo permanentemente aperto.
Nessuna delle funzioni di sicurezza qui descritte sostituisce un backup regolare dei dati. I dati crittografati con TPM 2.0 sono sì protetti da accessi non autorizzati, ma in caso di guasto del chip TPM o dell'SSD stesso sono altrettanto irrecuperabili, senza backup, quanto i dati non crittografati. Per l'impiego sul campo si consiglia quindi un backup automatizzato su un server centrale, non appena un dispositivo ha di nuovo accesso alla rete, invece di affidarsi esclusivamente alla crittografia locale.
Oltre al semplice scanner di impronte digitali, le attuali versioni di Windows supportano l'accesso biometrico tramite Windows Hello, che accoppia il riconoscimento di impronte digitali o del volto con il modulo TPM. In questo modo la chiave biometrica non viene memorizzata nel sistema operativo stesso, ma nel TPM, il che aumenta ulteriormente la protezione rispetto alle sole soluzioni software. Per le aziende con molti collaboratori mobili, ciò riduce inoltre l'onere di supporto altrimenti generato da password dimenticate.
Per l'impiego con dati moderatamente sensibili è spesso sufficiente una combinazione di crittografia OPAL 2.0 e protezione tramite password. Chi impiega dispositivi in servizio esterno o in cantiere, dove un furto è più probabile, dovrebbe prevedere in aggiunta un lucchetto Kensington e TPM 2.0. Per ambienti altamente sensibili con severi requisiti di conformità, ad esempio in ambito sanitario o presso enti pubblici, si consiglia la combinazione completa di TPM 2.0, lettore di smart card e gestione centrale vPro™. La seguente regola empirica aiuta nella classificazione: maggiore è il numero di dispositivi nella flotta e più elevata l'esigenza di protezione dei dati elaborati, tanto più conviene l'onere aggiuntivo per l'infrastruttura smart card e la gestione centrale rispetto a una soluzione basata solo su password.
I dispositivi di Robustbook si possono configurare, a seconda del modello, con le funzioni di sicurezza qui descritte. Offriamo con il Durabook S14I, il Durabook S15 e il Durabook Z14I laptop robusti per l'impiego all'aperto, tutti con scocca in alluminio-magnesio e certificazione MIL-STD-810H. Per una consulenza sulla dotazione di sicurezza adatta al vostro settore e alle vostre esigenze di conformità, il team è a vostra disposizione tramite la pagina contatti.