---
title: "Wybór sprzętu"
icon: 'material/chip'
description: Oprogramowanie to nie wszystko; dowiedz się więcej o narzędziach sprzętowych, których używasz na co dzień, aby chronić swoją prywatność.
---

Gdy mowa o prywatności, sprzęt bywa często pomijany na rzecz dyskusji o używanym oprogramowaniu. Twój sprzęt powinien być traktowany jako fundament, na którym budujesz resztę swojej konfiguracji prywatności.

## Wybór komputera

Komponenty wewnętrzne urządzeń przetwarzają i przechowują wszystkie Twoje dane cyfrowe. Ważne jest, aby wszystkie urządzenia były wspierane przez producenta i deweloperów w postaci regularnych aktualizacji zabezpieczeń.

### Programy bezpieczeństwa sprzętowego

Niektóre urządzenia uczestniczą w „programie bezpieczeństwa sprzętowego” — to współpraca producentów określająca dobre praktyki i zalecenia przy projektowaniu sprzętu, na przykład:

- [Komputery z systemem Windows z zabezpieczonym rdzeniem](https://learn.microsoft.com/pl-pl/windows-hardware/design/device-experiences/oem-highly-secure-11) spełniają wyższe kryteria bezpieczeństwa określone przez Microsoft. Zabezpieczenia te nie dotyczą wyłącznie użytkowników systemu Windowsa; użytkownicy innych systemów operacyjnych nadal mogą korzystać z funkcji takich jak [ochrona DMA](https://learn.microsoft.com/pl-pl/windows/security/information-protection/kernel-dma-protection-for-thunderbolt) oraz z możliwości całkowitego braku zaufania do certyfikatów Microsoftu.
- [Android Ready SE](https://developers.google.com/android/security/android-ready-se) to współpraca między producentami mająca na celu zapewnienie, że ich urządzenia stosują [najlepsze praktyki](https://source.android.com/docs/security/best-practices/hardware) i zawierają odporną na manipulacje, sprzętową przestrzeń do przechowywania elementów takich jak klucze szyfrowania.
- macOS uruchamiany na układzie SoC firmy Apple wykorzystuje [zabezpieczenia sprzętowe](../os/macos-overview.md#hardware-security), które mogą być niedostępne w systemach operacyjnych firm trzecich.
- [Bezpieczeństwo systemu ChromeOS](https://chromium.org/chromium-os/developer-library/reference/security/security-whitepaper) jest najlepsze, gdy działa na Chromebooku, ponieważ może wtedy wykorzystać dostępne funkcje sprzętowe, takie jak [sprzętowy root-of-trust](https://chromium.org/chromium-os/developer-library/reference/security/security-whitepaper/#hardware-root-of-trust-and-verified-boot).

Nawet jeśli nie korzystasz z tych systemów operacyjnych, udział producenta w takich programach może świadczyć o tym, że stosuje on najlepsze praktyki dotyczące bezpieczeństwa sprzętowego i aktualizacji.

### Preinstalowany system operacyjny

Nowe komputery prawie zawsze są dostarczane z preinstalowanym systemem Windows, chyba że kupisz Maca lub specjalistyczną maszynę z Linuksem. Zwykle warto wyczyścić dysk i zainstalować świeżą kopię wybranego systemu operacyjnego, nawet jeśli oznacza to jedynie ponowną instalację systemu Windows od zera. Z powodu umów między producentami sprzętu a nieuczciwymi dostawcami oprogramowania, domyślna instalacja systemu Windows często bywa wstępnie załadowana oprogramowaniem typu bloatware, [adware](https://bleepingcomputer.com/news/technology/lenovo-gets-a-slap-on-the-wrist-for-superfish-adware-scandal), a czasem nawet [złośliwym oprogramowaniem](https://zdnet.com/article/dell-poweredge-motherboards-ship-with-malware).

### Aktualizacje oprogramowania układowego

Sprzęt często ma luki bezpieczeństwa, które są wykrywane i łatane w aktualizacjach oprogramowania układowego.

Prawie każdy komponent komputera wymaga oprogramowania układowego, aby działać — od płyty głównej po urządzenia pamięci masowej. W idealnym przypadku wszystkie elementy urządzenia powinny być w pełni wspierane przez producenta. Urządzenia Apple, Chromebooki, większość telefonów z Androidem oraz urządzenia Microsoft Surface będą obsługiwać aktualizacje oprogramowania układowego automatycznie, o ile dane urządzenie jest wspierane.

Jeśli składasz własny komputer, może być konieczne ręczne zaktualizowanie oprogramowania układowego płyty głównej, pobierając je ze strony producenta OEM płyty. Jeśli korzystasz z Linuksa, rozważ użycie wbudowanego narzędzia [`fwupd`](https://fwupd.org), które pozwala sprawdzić i zastosować dostępne aktualizacje oprogramowania układowego dla płyty głównej i innych komponentów.

### TPM / bezpieczny kryptoprocesor

Większość komputerów i telefonów jest wyposażona w moduł TPM (lub podobny bezpieczny kryptoprocesor), który bezpiecznie przechowuje klucze szyfrowania i obsługuje inne funkcje związane z bezpieczeństwem. Jeśli obecnie korzystasz z maszyny, która nie ma takiego modułu, warto rozważyć zakup nowszego urządzenia wyposażonego w tę funkcję. Niektóre płyty główne do komputerów stacjonarnych i serwerów mają złącze „TPM header”, które pozwala dodać małą płytkę zawierającą moduł TPM.

<div class="admonition Note" markdown>
<p class="admonition-title">Uwaga</p>

Wirtualne moduły TPM są podatne na ataki kanałów bocznych (ang. _side-channel attacks_), a zewnętrzne moduły TPM — jako elementy oddzielone od procesora na płycie głównej — mogą być narażone na tzw. [TPM sniffing](https://pulsesecurity.co.nz/articles/TPM-sniffing), gdy atakujący ma fizyczny dostęp do sprzętu. Rozwiązaniem jest umieszczenie bezpiecznego procesora wewnątrz samego procesora, tak jak ma to miejsce w układach Apple oraz w rozwiązaniu firmy Microsoft [Pluton](https://microsoft.com/en-us/security/blog/2020/11/17/meet-the-microsoft-pluton-processor-the-security-chip-designed-for-the-future-of-windows-pcs).

</div>

### Biometria

Wiele urządzeń wyposażonych jest w czytnik linii papilarnych lub funkcję rozpoznawania twarzy. Są to wygodne rozwiązania, ale nie są nieomylne i czasem zawodzą. W większości przypadków następuje wtedy powrót do kodu PIN lub hasła, więc bezpieczeństwo urządzenia zależy nadal od siły użytego hasła.

Biometria może zapobiec sytuacjom, w których ktoś obserwuje wpisywane hasło — więc jeśli tzw. _shoulder-surfing_ („podglądanie zza ramienia”) jest elementem Twojego modelu zagrożeń, biometria może być dobrą opcją.

Większość implementacji uwierzytelniania twarzy wymaga, aby patrzeć na telefon i działa jedynie ze stosunkowo bliskiej odległości, więc nie musisz nadmiernie obawiać się, że ktoś bez Twojej zgody skieruje telefon na Twoją twarz, by odblokować urządzenie. Biometrię można też wyłączyć, gdy telefon jest zablokowany. W systemie iOS przytrzymaj boczny przycisk i dowolny przycisk głośności przez 3 sekundy, aby wyłączyć Face ID na modelach, które go obsługują. Na Androidzie przytrzymaj przycisk zasilania i wybierz opcję „Blokada” w menu.

<div class="admonition warning" markdown>
<p class="admonition-title">Ostrzeżenie</p>

Niektóre urządzenia nie mają odpowiedniego sprzętu do bezpiecznego uwierzytelniania twarzy. Istnieją dwa główne rodzaje uwierzytelniania twarzy: 2D i 3D. 3D wykorzystuje projektor kropek, który pozwala urządzeniu utworzyć trójwymiarową mapę głębi twarzy. Upewnij się, że Twoje urządzenie ma taką funkcję.

</div>

Android definiuje trzy [klasy bezpieczeństwa](https://source.android.com/docs/security/features/biometric/measure#biometric-classes) dla biometrii; przed włączeniem biometrii upewnij się, że urządzenie jest klasy 3.

### Szyfrowanie urządzenia

Jeśli urządzenie jest [zaszyfrowane](../encryption.md), dane są najbezpieczniejsze, gdy urządzenie jest całkowicie wyłączone (a nie tylko uśpione) — czyli zanim po raz pierwszy wprowadzisz klucz szyfrowania lub hasło blokady ekranu. W telefonach ten stan większego bezpieczeństwa nazywany jest „Before First Unlock” (BFU, dosł. _przed pierwszym odblokowaniem_), a po wprowadzeniu prawidłowego hasła po ponownym uruchomieniu/włączeniu — „After First Unlock” (AFU, dosł. _po pierwszym odblokowaniu_). AFU jest znacznie mniej odporny przed narzędziami do analizy kryminalistycznej i innymi eksploitami w porównaniu z BFU. Dlatego też, jeśli obawiasz się atakującego mającego fizyczny dostęp do Twojego urządzenia, należy je całkowicie wyłączać, gdy go nie używasz.

Może to być niepraktyczne — więc przemyśl, czy warto — ale nawet tryb AFU jest skuteczny wobec większości zagrożeń, pod warunkiem, że używany jest silny klucz szyfrowania.

## Sprzęt zewnętrzny

Niektóre zagrożenia nie są do opanowania wyłącznie przez komponenty wewnętrzne. Wiele z opisanych tu opcji jest wysoce sytuacyjnych; oceń, czy faktycznie są konieczne w Twoim modelu zagrożeń.

### Sprzętowe klucze bezpieczeństwa

Klucze sprzętowe to urządzenia wykorzystujące silną kryptografię do uwierzytelniania na urządzeniu lub koncie. Ponieważ nie da się ich skopiować, pozwalają zabezpieczyć konta w taki sposób, że dostęp możliwy jest tylko przy fizycznym posiadaniu klucza, co eliminuje wiele ataków zdalnych.

[Zalecane klucze sprzętowe :material-arrow-right-drop-circle:](../security-keys.md){ .md-button .md-button--primary } [Dowiedz się więcej o kluczach sprzętowych :material-arrow-right-drop-circle:](multi-factor-authentication.md#hardware-security-keys){ .md-button }

### Kamera i mikrofon

Jeśli nie chcesz polegać na mechanizmach kontroli uprawnień Twojego systemu operacyjnego, aby zapobiec aktywacji kamery, możesz kupić fizyczne zasłonki blokujące światło docierające do obiektywu. Możesz też kupić urządzenie bez wbudowanej kamery i korzystać z kamery zewnętrznej, którą odłączysz po użyciu. Niektóre urządzenia mają wbudowane zasłonki lub przełączniki sprzętowe, które fizycznie odłączają kamerę od zasilania.

<div class="admonition warning" markdown>
<p class="admonition-title">Ostrzeżenie</p>

Kupuj tylko osłony dopasowane do Twojego laptopa, które nie uszkodzą go przy zamykaniu klapy. Zakrycie kamery wpłynie na działanie automatycznej regulacji jasności oraz uwierzytelniania twarzy.

</div>

W przypadku mikrofonu w większości sytuacji trzeba polegać na wbudowanym mechanizmie kontroli uprawnień Twojego systemu operacyjnego. Alternatywą jest wybór urządzenia bez wbudowanego mikrofonu i korzystanie z zewnętrznego mikrofonu, który możesz odłączyć po użyciu. Niektóre urządzenia, np. [MacBooki czy iPady](https://support.apple.com/guide/security/hardware-microphone-disconnect-secbbd20b00b/web), wyposażone są w sprzętowe odłączenie mikrofonu po zamknięciu klapy.

Wiele komputerów ma w BIOS-ie opcję wyłączenia kamery i mikrofonu. Po jej użyciu sprzęt nie będzie nawet widoczny jako urządzenie w uruchomionym systemie.

### Filtry prywatyzujące

Filtr prywatyzujący to folia nakładana na ekran, dzięki której obraz jest widoczny tylko pod określonym kątem. Przydaje się, jeśli Twój model zagrożeń obejmuje podglądanie ekranu przez inne osoby, ale nie jest to rozwiązanie niezawodne — ktoś może po prostu zmienić kąt widzenia, żeby zobaczyć zawartość ekranu.

### Czuwaki

Czuwak (ang. _dead man's switch_, dosł. przełącznik martwego człowieka) uniemożliwia działanie maszyny bez obecności operatora. Choć pierwotnie służył jako środek bezpieczeństwa, tę samą ideę można zastosować do urządzenia elektronicznego — np. żeby je zablokować, gdy nie ma Cię przy nim.

Niektóre laptopy potrafią [wykrywać](https://support.microsoft.com/pl-pl/windows/managing-presence-sensing-settings-in-windows-11-82285c93-440c-4e15-9081-c9e38c1290bb) obecność użytkownika i automatycznie się blokować, gdy nie siedzisz przed ekranem. Należy sprawdzić ustawienia systemu, czy Twój komputer obsługuje tę funkcję.

Dostępne są też kable, jak [BusKill](https://buskill.in), które zablokują lub wyczyszczą komputer po odłączeniu kabla.

### Ochrona przed przechwyceniami / atakami typu „evil maid”

Najlepszym sposobem zapobiegania atakom ukierunkowanym jeszcze przed otrzymaniem urządzenia jest jego zakup w sklepie stacjonarnym zamiast zamawiania go na adres domowy.

Upewnij się, że urządzenie obsługuje bezpieczny rozruch / verified boot i że ta funkcja jest włączona. Staraj się też unikać zostawiania urządzenia bez nadzoru, o ile to możliwe.

### Zamki Kensington

Wiele laptopów wyposażonych jest w [gniazdo Kensington](https://www.kensington.com/solutions/product-category/security/?srsltid=AfmBOorQOlRnqRJOAqM-Mvl7wumed0wBdiOgktlvdidpMHNIvGfwj9VI), do którego można przypiąć **metalowy kabel** blokujący urządzenie. Zamki te mogą być na szyfr lub na klucz.

Podobnie jak w przypadku wszystkich zamków, blokady Kensington są podatne na [ataki fizyczne](https://youtu.be/vgvCxL7dMJk), więc przede wszystkim odstraszają drobną kradzież. Możesz zabezpieczyć swojego laptopa w domu lub nawet w miejscu publicznym, przypinając go do nogi stołu lub innego stabilnego elementu.

## Zabezpiecz swoją sieć

### Izolacja środowisk

Istnieje wiele rozwiązań pozwalających oddzielić wykonywane na komputerze czynności — np. maszyny wirtualne czy piaskownice. Najlepszą separacją jest jednak fizyczne rozdzielenie urządzeń. Ma to szczególne znaczenie w sytuacjach, gdy pewne oprogramowanie zmusza do obchodzenia zabezpieczeń systemu operacyjnego, np. oprogramowanie anti-cheat dołączane do wielu gier.

W przypadku gier warto rozważyć przeznaczenie jednego urządzenia wyłącznie do grania i utrzymywanie go w oddzielnej sieci VLAN Może to wymagać użycia przełącznika zarządzalnego oraz routera obsługującego wydzielone sieci.

Większość routerów konsumenckich pozwala osiągnąć podobny efekt poprzez włączenie oddzielnej sieci „gościa”, która nie ma dostępu do sieci głównej. Wszystkie niezaufane urządzenia — w tym urządzenia IoT, takie jak inteligentna lodówka, termostat czy telewizor — można umieścić właśnie w takiej sieci.

### Minimalizm

Jak mówi przysłowie: „mniej znaczy więcej”. Im mniej urządzeń podłączonych do sieci, tym mniejsza powierzchnia ataku i mniej pracy przy utrzymywaniu ich aktualności.

Może być pomocne przejście się po domu i spisanie wszystkich podłączonych urządzeń, aby mieć nad nimi kontrolę.

### Routery

Router obsługuje cały ruch sieciowy i jest pierwszą linią obrony między Tobą a Internetem.

<div class="admonition Note" markdown>
<p class="admonition-title">Uwaga</p>

Wiele routerów wyposażonych jest w pamięć, na której można przechowywać pliki, aby mieć do nich dostęp z dowolnego komputera w sieci. Nie zalecamy jednak używania urządzeń sieciowych do celów innych niż praca w sieci. W przypadku naruszenia bezpieczeństwa routera Twoje pliki również zostaną zagrożone.

</div>

Najważniejsze jest dbanie o aktualność oprogramowania routera. Wiele nowoczesnych routerów instaluje aktualizacje automatycznie, ale sporo z nich tego nie robi. Sprawdź w ustawieniach routera, czy taka opcja jest dostępna. Strona konfiguracyjna routera zwykle dostępna jest pod adresem `192.168.1.1` lub `192.168.0.1`, który należy wpisać w pasku adresu przeglądarki internetowej, pod warunkiem, że korzystasz z tej samej sieci. Możesz też sprawdzić w ustawieniach sieci w systemie operacyjnym pozycję „router” lub „brama”.

Jeśli router nie obsługuje automatycznych aktualizacji, należy pobrać poprawki ze strony producenta i zainstalować je ręcznie.

Wiele routerów konsumenckich nie jest już obsługiwanych przez długi czas. Jeśli Twój router nie otrzymuje już aktualizacji od producenta, sprawdź, czy nie obsługuje go [oprogramowanie układowe FOSS](../router.md). Można też kupić routery z preinstalowanym otwartym oprogramowaniem układowym, które zwykle są wspierane dłużej niż standardowe modele.

Niektórzy dostawcy ISP oferują kombinację router/modem. Dla bezpieczeństwa warto rozważyć zakup oddzielnego routera i ustawienie dostarczonego przez ISP urządzenia w trybie modemu. Dzięki temu, nawet gdy urządzenie ISP przestanie otrzymywać aktualizacje, możesz nadal otrzymywać aktualizacje zabezpieczeń i poprawki dla własnego routera. Oznacza to również, że wszelkie problemy dotyczące modemu nie będą wpływać na router i vice versa.
