Jak złożyć komputer „air‑gapped” do przechowywania haseł, kopii zapasowych i kluczy kryptowalut

Po co w ogóle komputer „air‑gapped” i dla kogo ma sens

Co naprawdę oznacza „air‑gapped” w domu

Komputer „air‑gapped” to po prostu komputer fizycznie odcięty od sieci. Nie ma kabla sieciowego, nie ma Wi‑Fi, nie ma Bluetooth, nigdy nie był i nie będzie podłączony do internetu. Nie chodzi o „zazwyczaj offline”, tylko o twarde nigdy. Żadnych wyjątków „tylko na chwilę, żeby coś pobrać”.

W zastosowaniach domowych taki komputer staje się cyfrowym sejfem: przechowuje to, czego nie chcesz trzymać w chmurze, na smartfonie ani w zwykłym komputerze używanym do wszystkiego. Wszystko, co trafia do tego komputera, wchodzi przez nośniki wymienne (pendrive, płyta, dysk USB), a wychodzi w dokładnie taki sam, kontrolowany sposób.

Różnica względem zwykłego „offline” polega na dyscyplinie i konstrukcji. Laptop, który czasem ma wyłączone Wi‑Fi, to nie jest komputer air‑gapped. To komputer, który jest po prostu chwilowo mniej narażony. Po podłączeniu do sieci cała magia znika.

Jakie zagrożenia ma rozwiązywać komputer offline

Domowy komputer air‑gapped ma zredukować ryzyko kilku konkretnych kategorii ataków:

• Malware i keyloggery – programy rejestrujące klawiaturę, zrzuty ekranu czy szyfrujące dysk. Jeśli komputer nigdy nie łączy się z siecią, zdalny atak po prostu nie ma gdzie się „przykleić”.
• Phishing i błędy w przeglądarce – brak przeglądania sieci = brak klikania w podejrzane linki, fałszywe strony banków i giełd kryptowalut.
• Wycieki z chmury i usług online – hasła, klucze kryptowalut i prywatne dokumenty nie są wysyłane do zewnętrznych serwerów, więc nie wyciekną razem z danymi jakiegoś providera.
• Złośliwe aktualizacje – brak automatycznych update’ów z sieci oznacza, że jedyne nowe oprogramowanie to to, które samodzielnie przeniesiesz i zweryfikujesz.

Air‑gap nie jest magiczną tarczą, ale sprawia, że większość typowych ataków z sieci przestaje mieć sens. Napastnik musiałby fizycznie dostać się do sprzętu lub do nośników, które do niego podłączasz.

Typowe zastosowania domowego „cyfrowego sejfu”

Komputer air‑gapped przydaje się przede wszystkim do zadań, w których kompromitacja danych równa się dużym kłopotom i których nie potrzebujesz codziennie na każdym urządzeniu. Najczęściej używane scenariusze:

• Bezpieczne przechowywanie kluczy kryptowalut – klucze prywatne, frazy seed, portfele „cold storage” dla większych kwot, które nie leżą na giełdzie ani w portfelach mobilnych.
• Offline manager haseł – baza haseł (np. KeePass) trzymana na zaszyfrowanym dysku, dostępna tylko po uruchomieniu tego jednego komputera. Synchronizacja z „online życiem” przez kontrolowane export/import.
• Kopie zapasowe na nośnikach offline – zaszyfrowane backupy zdjęć rodzinnych, dokumentów, plików biznesowych, które trzymasz poza chmurą.
• Klucze PGP/GPG i certyfikaty – dla osób, które szyfrują korespondencję lub podpisują cyfrowo ważne dokumenty.
• Bardziej prywatne dokumenty – skany dokumentów tożsamości, umowy, akta medyczne – wszystko, co nie powinno wylądować w poczcie Gmail lub na dysku współdzielonym.

To nie jest komputer do gier, pracy biurowej czy oglądania filmów. To cyfrowy sejf + warsztat kryptograficzny, który uruchamiasz wtedy, gdy naprawdę musisz.

Kto skorzysta, a komu wystarczy coś prostszego

Dla części osób komputer air‑gapped to strzelanie z armaty do muchy. Zanim zaczniesz planować zakup, dobrze określić swój profil:

• Użytkownik „codzienny” – typowa ilość haseł, mało kryptowalut, brak szczególnie wrażliwych dokumentów. W większości przypadków wystarczy solidny menedżer haseł z 2FA i ewentualnie sprzętowy portfel kryptowalut.
• Osoba z większym kapitałem w kryptowalutach – kilkanaście, kilkadziesiąt tysięcy złotych lub więcej w krypto, długoterminowe trzymanie. Tu komputer air‑gapped zaczyna mieć sens jako rozszerzenie hardware walleta albo alternatywa dla osób, które chcą pełnej kontroli.
• Mały biznes / freelancer – trzymanie offline kluczy do serwerów, klientów VPN, szyfrowanych archiwów z danymi klientów. Przy obowiązkach RODO i odpowiedzialności finansowej taki sejf cyfrowy to nie fanaberia.

Jeśli Twoje „aktywa cyfrowe” mieszczą się na jednym koncie giełdowym i paru hasłach, lepiej zainwestować w dobrą higienę bezpieczeństwa online niż w osobny komputer. Jeśli jednak na szali leży realny majątek lub reputacja – air‑gapped zaczyna być uzasadnioną inwestycją.

Krótko o alternatywach i ich ograniczeniach

Kilka popularnych rozwiązań warto zestawić z komputerem air‑gapped:

Komputer air‑gapped łączy elastyczność klasycznego PC z bezpieczeństwem cold storage. W zamian wymaga więcej uwagi i procedur, ale daje coś, czego nie zapewni jeden gadżet z USB.

Założenia bezpieczeństwa – co ten komputer ma realnie chronić

Zagrożenia, które ogranicza dobrze zbudowany air‑gap

Projektując komputer air‑gapped, trzeba jasno odpowiedzieć na pytanie: przed czym się bronimy. Taki komputer ma mocne strony w kilku obszarach:

• Ataki zdalne – brak karty sieciowej, Wi‑Fi i stałego dostępu do internetu praktycznie eliminuje klasyczne włamania przez sieć.
• Złośliwe aktualizacje i „niespodzianki” w tle – system nie wykonuje automatycznych update’ów, nie pobiera nowych aplikacji bez Twojej wiedzy.
• Wycieki z usług online – jeśli klucze kryptowalut i hasła nie opuszczają zaszyfrowanego dysku offline, nie znajdą się w wyciekach żadnego dostawcy chmury.
• Szeroko zakrojone ataki masowe – botnety, złośliwe kampanie mailowe, luki 0‑day w popularnych przeglądarkach – wszystko to atakuje głównie sprzęt podłączony do sieci.

Innymi słowy: komputer air‑gapped ma zmniejszyć powierzchnię ataku do tego, co realnie dotkniesz rękami – sprzętu i nośników. Reszta świata może się cyfrowo palić, a Twój sejf nadal będzie „w piwnicy”.

Czego nie naprawi nawet najlepiej odizolowany komputer

Odcięcie od internetu nie rozwiązuje wszystkich problemów. Są obszary, w których nawet perfekcyjnie zbudowany zestaw nie pomoże:

• Fizyczna kradzież – jeśli ktoś wyniesie komputer lub dyski i zna (albo wymusi) hasła, po zawodach. Dlatego kluczowe jest pełne szyfrowanie dysku i mechaniczne zabezpieczenie sprzętu.
• Przymus i szantaż – nawet najlepsze szyfrowanie nie pomoże, jeśli ktoś zmusi Cię do wpisania hasła. Tu wchodzą w grę procedury „hasła awaryjnego”, ale to już wyższa szkoła jazdy.
• Błędy użytkownika – wpisanie seeda w fałszywe okno na komputerze online, przesłanie klucza prywatnego e‑mailem, trzymanie haseł na pulpicie laptopa – komputer air‑gapped nie cofnie tych decyzji.
• Zawirusowane nośniki – jeśli bezmyślnie podłączasz do sejfu pendrive’y, które wcześniej były w każdym możliwym komputerze, możesz wnieść złośliwe oprogramowanie „na butach”.

Ten typ komputera jest jak porządny sejf: chroni przed włamaniem przez ścianę, ale nie przed otwarciem drzwiczek przez właściciela na żądanie złodzieja. Technikę da się zbudować. Odporności psychicznej niestety nie da się kupić w sklepie komputerowym.

Różne modele zagrożeń: dom, mały biznes, „krypto‑whale”

Inaczej buduje się komputer air‑gapped dla osoby, która ma w krypto równowartość dobrego samochodu, a inaczej dla kogoś, kto trzyma tam miesięczną pensję. Kilka punktów odniesienia:

• Użytkownik domowy – główne zagrożenia to malware na komputerze online, phishing i wycieki z chmury. Air‑gapped ma tu być prostym, rzadko używanym sejfem, który „ucieka” od internetu.
• Mały biznes – dochodzą kwestie odpowiedzialności za dane klientów. Air‑gapped może przechowywać klucze do backupów, klucze PGP, certyfikaty serwerowe. Zagrożenia to nie tylko hakerzy, ale też np. niezadowolony były pracownik.
• Osoba z dużym kapitałem w krypto – tu pojawia się ryzyko dedykowanego ataku. Zasadne staje się posiadanie więcej niż jednego komputera/sejfu, geograficzne rozdzielenie kopii i bardziej wyrafinowane procedury.

Na potrzeby domowego komputera air‑gapped zwykle wystarczy przyjąć model: chronię się przed masowymi atakami z sieci i przed przypadkowymi błędami, a nie przed agencjami wywiadowczymi. To upraszcza wybór sprzętu i procedur, a i tak radykalnie zwiększa bezpieczeństwo.

Żelazna zasada: „nigdy nie podłączę go do internetu”

Cała koncepcja air‑gap opiera się na jednym, kluczowym nawyku: brak wyjątku od braku internetu. Żadnego „tylko na 5 minut, żeby pobrać aktualizację”, żadnego „muszę szybko ściągnąć nową wersję portfela”.

Dlatego już na etapie projektowania sprzętu i BIOS‑u warto:

• wybrać płytę bez Wi‑Fi i Bluetooth,
• wyłączyć w BIOS/UEFI bootowanie z sieci (PXE),
• po prostu nie podłączać kabla sieciowego – nie kłaść go nawet w pobliżu.

Jeżeli już na starcie założysz, że „czasem jednak podłączę, bo wygodniej”, to przestajesz budować komputer air‑gapped, a zaczynasz tworzyć po prostu „komputer, który rzadko jest w sieci”. To zupełnie inny poziom ochrony.

Bezpieczeństwo warstwowe: sprzęt, software, nawyki

Trwały komputer air‑gapped to połączenie trzech warstw ochrony:

• Sprzęt – brak modułów sieciowych, przyzwoite komponenty, możliwość szyfrowania dysku na poziomie BIOS/UEFI lub systemu.
• Oprogramowanie – stabilny, sprawdzony system operacyjny, brak zbędnych programów, menedżer haseł offline, narzędzia szyfrujące, odpowiednie ustawienia.
• Procedury i nawyki – jak używasz nośników, gdzie trzymasz hasła główne, jak często robisz kopie zapasowe i czy naprawdę trzymasz się zasady „brak internetu”.

Każda kolejna warstwa nie zastępuje poprzedniej, tylko ją wzmacnia. Zamiast obsesyjnie kombinować, jak zlutować kartę sieciową, lepiej zbudować sensowny zestaw: prosty, stabilny sprzęt + przemyślany system + powtarzalne rytuały bezpieczeństwa.

Wybór platformy i podzespołów – nowy zestaw czy stary złom z szafy

Czy naprawdę potrzebujesz nowego komputera

Komputer air‑gapped nie musi być demonem wydajności. Nie będziesz na nim grać ani montować wideo. Kluczowe są stabilność, przewidywalność i kontrola, a nie liczba FPS‑ów.

Często w szafie leży stary komputer, który „szkoda wyrzucić”. To naturalny kandydat – ale tylko pod pewnymi warunkami:

• Obsługa współczesnych systemów – minimum wsparcie dla 64‑bitowego Linuxa lub nowszego Windowsa, sensowna ilość RAM (co najmniej 4 GB, optymalnie 8 GB).
• Sprawny sprzęt – brak dziwnych restartów, przegrzewania, „piszczącego” zasilacza. Ten komputer ma stać się sejfem, nie loterią.
• Możliwość fizycznego odcięcia sieci – najlepiej wymienna karta sieciowa (PCIe/PCI) albo płyta bez zintegrowanego Wi‑Fi. Jeśli jest Wi‑Fi wlutowane, da się je zwykle wyłączyć w BIOS‑ie, ale lepiej mieć możliwość sięgnięcia po śrubokręt.

Jeżeli stary sprzęt spełnia te wymagania, często lepiej go odświeżyć (nowy dysk SSD, dodatkowy RAM) niż kupować cały zestaw od zera. Zyskujesz oszczędność i… mniejsze „parcie”, żeby jednak go do czegoś innego użyć.

Kiedy postawić na nowy (lub prawie nowy) zestaw

Świeży komputer ma kilka przewag nad zabytkiem z piwnicy:

• Aktualny firmware – BIOS/UEFI z łatkami bezpieczeństwa, wsparcie dla szyfrowania sprzętowego, lepsza kompatybilność z nowymi systemami.
• Niższe zużycie energii – szczególnie w przypadku nowszych procesorów i zasilaczy, co przy okazjonalnym, ale wieloletnim użytkowaniu ma sens.
• Mniejsze ryzyko ukrytych usterek – kondensatory na płycie jeszcze nie pamiętają epoki Windowsa XP.

Nie trzeba jednak kupować „gamingowego potwora”. Wystarczy podstawowy desktop albo mały komputer typu small form factor z biurowej serii. Ważniejsze jest, żeby:

• dało się wymienić/odpiąć karty sieciowe,
• płyta umożliwiała sensowną konfigurację w BIOS/UEFI,
• sprzęt miał łatwy dostęp do wnętrza (dołożenie dysku, czyszczenie, kontrola).

Rozsądnym kompromisem są poleasingowe komputery biurowe – Delle, HP, Lenowo z serii business. Tanie, proste, często lepiej wykonane niż budżetowe „nówki” ze sklepu.

Desktop czy laptop – co wybrać do sejfu offline

Oba typy mają swoje plusy i minusy, dlatego dobrze sprecyzować, jak chcesz korzystać z tego komputera.

Desktop (stacjonarny) daje:

• łatwy dostęp do komponentów (odpięcie kart sieciowych, wymiana dysku, dokładki RAM),
• więcej miejsca na dodatkowe dyski (np. drugi, zaszyfrowany pod inny typ danych),
• brak wbudowanej baterii – mniejszy problem z ewentualnym „budzeniem się” czy zasilaniem w niekontrolowany sposób.

Z drugiej strony, laptop to:

• mobilność – można go trzymać w sejfie w innym miejscu niż mieszkanie,
• wbudowany ekran i klawiatura – mniej peryferiów do przechowywania i zabezpieczania,
• mniejsze zużycie prądu, cichy i kompaktowy sprzęt.

Laptopy mają jednak w pakiecie Wi‑Fi, Bluetooth, czasem LTE, kamerki, mikrofony – cały zestaw „świata zewnętrznego”. Do sensownego air‑gapa trzeba to wszystko okiełznać, a czasem po prostu zakleić i wyłączyć.

Płyta główna, BIOS/UEFI i moduły komunikacyjne – jak fizycznie „odciąć kabel”

Jakich interfejsów sieciowych szukać (żeby je potem wyłączyć)

Z perspektywy air‑gap najważniejsze są wszystkie drogi, którymi komputer mógłby „zacząć gadać” z siecią bez Twojej wyraźnej zgody. Typowe moduły to:

• Ethernet (LAN) – klasyczna karta sieciowa RJ‑45, zwykle zintegrowana z płytą główną lub jako osobna karta PCIe.
• Wi‑Fi – może być wlutowane w płytę, jako moduł M.2/mini‑PCIe lub osobny dongle USB.
• Bluetooth – często w pakiecie z modułem Wi‑Fi, szczególnie w laptopach.
• Modem LTE/5G – rzadziej w desktopach, częściej w niektórych laptopach biznesowych.

Nie wszystko da się usunąć z płyty śrubokrętem, ale sporo rzeczy można po prostu nie zainstalować (np. nie wkładamy karty Wi‑Fi, nie dokupujemy dongla USB).

Fizyczne odłączenie – śrubokręt zamiast zakazów

Najpewniejsza metoda odcięcia sieci: nie mieć fizycznej możliwości podłączenia się. W praktyce wygląda to tak:

• Jeśli karta sieciowa jest osobnym modułem PCIe – wyjmij ją z gniazda i schowaj daleko od komputera.
• Jeśli płyta ma zintegrowany LAN – nie podłączaj kabla i, dla świętego spokoju, wyłącz kontroler w BIOS/UEFI.
• Moduły Wi‑Fi/Bluetooth w formie kartki M.2/mini‑PCIe – można je zwykle odkręcić i wyjąć; w laptopach to dwa śrubki i zdjęcie anten.
• Jeżeli jesteś bardzo zdeterminowany – można nawet mechanicznie uszkodzić port LAN (np. zaślepka, w skrajnym przypadku odlutowanie), ale to już zabawa dla osób z lutownicą i stalowymi nerwami.

W praktyce w domowym scenariuszu wystarczy: wyjęta karta Wi‑Fi, brak kabla LAN w pobliżu i wyłączone w BIOS‑ie wszystkie opcje sieciowe. Czasem najskuteczniejsze zabezpieczenie to po prostu brak sprzętu, który mógłby rozmawiać ze światem.

Konfiguracja BIOS/UEFI pod komputer offline

BIOS/UEFI to pierwsza warstwa kontroli, zanim jeszcze uruchomi się system operacyjny. Tam można od razu przyciąć sporo możliwości, których nie potrzebujesz.

Lista ustawień, które dobrze przejrzeć:

• Bootowanie z sieci (PXE, Network Boot) – wyłączyć, ustawiając boot wyłącznie z lokalnego dysku lub ewentualnie z napędu USB/optical na czas instalacji.
• Wbudowany LAN, Wi‑Fi, Bluetooth – jeśli BIOS na to pozwala, przełączyć na Disabled.
• Secure Boot – decyzja zależy od systemu; przy niektórych dystrybucjach Linuxa lepiej go wyłączyć, przy Windowsie może zostać włączony. Najważniejsze, żeby świadomie zdecydować, co robisz.
• Hasło do BIOS/UEFI – ustawienie hasła administratora BIOS utrudnia osobie trzeciej zmianę kolejności bootowania lub ponowne włączenie sieci.
• Bootowanie z USB – po instalacji systemu można je ograniczyć lub wyłączyć, zostawiając tylko dysk systemowy. To już jednak decyzja, jak „twardy” ma być Twój model bezpieczeństwa.

Po konfiguracji zrób zdjęcie ekranów BIOS‑u (na osobny, zaufany pendrive lub telefon trzymany w domu), żeby później móc zweryfikować, czy nic się „magicznie” nie zmieniło.

Ukryte moduły: kamery, mikrofony, porty

Komputer air‑gapped to nie tylko brak internetu. W zależności od Twojej paranoi i modelu zagrożeń możesz chcieć ograniczyć też inne elementy:

• Webcam – w laptopach można ją zakleić fizyczną zasłonką lub taśmą, albo odpiąć taśmę wewnątrz obudowy.
• Mikrofon – wyłączenie w systemie i BIOS‑ie, a w skrajnym przypadku odpięcie z płyty; jeżeli nie nagrywasz nic na tym komputerze, to po prostu zbędny moduł.
• Porty Thunderbolt – potężne, ale niosące ryzyko ataków typu DMA. Jeśli możesz, wyłącz je w BIOS‑ie albo po prostu nie używaj tego typu sprzętu.

Dla przeciętnego użytkownika domowego takie kroki mogą być przesadą. Dla osoby z dużym kapitałem w krypto czy firmowych kluczach – już niekoniecznie.

Procesor, RAM, dyski i zasilacz – co jest ważne, a co można odpuścić

Procesor – byle stabilny i w miarę świeży

Do sejfu offline wystarczy kilkuletni procesor z rodziny desktopowej. Nie potrzebujesz 16 rdzeni, ale też nie schodź do poziomu muzeum.

Przy wyborze procesora zwróć uwagę na:

• Wsparcie systemu – nowoczesne dystrybucje Linuxa dobrze radzą sobie z procesorami od kilkunastu lat, ale starsze jednostki mogą sprawiać problemy np. z AES‑NI (akceleracja szyfrowania).
• Sprzętowe wsparcie szyfrowania – instrukcje AES‑NI ułatwiają szyfrowanie dysków i kontenerów. Przydaje się to szczególnie przy większych wolumenach.
• Pobór mocy i chłodzenie – chłodny, cichy procesor mniej obciąża zasilacz, a hałas nie będzie Cię kusił do „tuningów” i kombinowania.

Jeżeli masz do wyboru starą i5‑kę oraz nowiutką i9‑kę – do komputera air‑gapped wybierz po prostu sensowny, energooszczędny środek. Portfeli nie liczy się na gigahercach.

RAM – ile, żeby się nie frustrować

Komputer będzie obsługiwał głównie:

• menedżera haseł offline,
• aplikacje portfeli kryptowalut (często lekkie),
• oprogramowanie do szyfrowania/kopii zapasowych,
• czasem przeglądarkę – ale raczej do lokalnych interfejsów, nie do codziennego surfowania.

Realistyczne minimum to 4 GB RAM, ale komfortowy poziom zaczyna się przy 8 GB. Powyżej tej wartości zyskujesz już niewiele, chyba że planujesz trzymać na tym komputerze też np. lokalne pełne nody blockchainów (co w większości domowych scenariuszy nie ma większego sensu).

Dyski – serce sejfu

Dyski to miejsce, gdzie faktycznie spoczną Twoje klucze, hasła i backupy. Tu rozstrzyga się, czy komputer będzie praktycznym sejfem, czy polem minowym.

SSD czy HDD?

Wybór jest prosty: dysk SSD na system i dane operacyjne. Zalety:

• mniejsza awaryjność mechaniczna,
• szybszy start systemu i aplikacji,
• brak wrażliwości na lekkie wstrząsy.

Klasyczny HDD można dołożyć jako drugi, zaszyfrowany magazyn kopii, ale nie jest to wymagane. Częściej wystarczy SSD o rozsądnej pojemności (np. 256–512 GB) + kilka dobrze zorganizowanych nośników wymiennych, o których dalej.

Jeden dysk czy kilka?

Są dwa popularne podejścia:

• Jeden dysk systemowy + zaszyfrowany kontener – prostsze, łatwiejsze do ogarnięcia; przy dobrej praktyce backupów wystarczy dla użytkownika domowego.
• Oddzielny dysk na dane wrażliwe – system na jednym SSD, wrażliwe dane na drugim, w całości zaszyfrowanym. Ten drugi dysk można np. fizycznie odłączać po użyciu.

Druga opcja daje dodatkowy komfort psychiczny – rozdzielasz „zwykły” system offline od faktycznego sejfu z kluczami. Wadą jest większa złożoność (więcej elementów do zapamiętania, który dysk jest gdzie i z czym).

Szyfrowanie – od początku albo nigdy

Dysk komputera air‑gapped powinien być zaszyfrowany w całości. Niezależnie od tego, czy używasz Linuxa (LUKS), Windowsa (BitLocker, VeraCrypt), czy innego rozwiązania – szyfrowanie trzeba włączyć:

• w trakcie instalacji systemu,
• na czystym dysku (bez wcześniejszych danych produkcyjnych),
• z silnym hasłem, które nie jest nigdzie zapisane w formie jawnej w komputerach podłączonych do sieci.

Szyfrowanie nie jest po to, żeby chronić Cię przed zapomnieniem hasła, tylko przed tym, kto znajdzie lub ukradnie dysk. Hasło główne do takiego wolumenu to w praktyce klucz do całego sejfu.

Zasilacz – cichy bohater stabilności

W zwykłym komputerze domowym słaby zasilacz to irytujące restarty. W komputerze air‑gapped słaby zasilacz to ryzyko utraty lub uszkodzenia danych w najmniej odpowiednim momencie.

Przy wyborze zasilacza kieruj się:

Jak dobrać sensowny zasilacz

Zasilacz do komputera air‑gapped nie musi mieć LED‑ów, złotych naklejek i certyfikatów rodem z serwerowni. Ma być przewidywalny. Kilka praktycznych kryteriów:

• Moc z zapasem – dla typowego zestawu z jedną grafiką biurową lub zintegrowaną wystarczy 300–400 W, ale lepiej celować w 400–500 W porządnego producenta niż w „700 W” z marketu.
• Certyfikat sprawności (80+ Bronze/Silver/Gold) – nie chodzi tu o rachunek za prąd, ale o jakość elektroniki. Im wyższy sensowny certyfikat, tym zwykle stabilniejsze napięcia.
• Ochrony elektryczne – OVP, OCP, SCP (zabezpieczenie przed zbyt wysokim napięciem, przeciążeniem, zwarciem). Brzmi nudno, ale to te trzy literki stoją między Twoim dyskiem a nagłym „puff”.
• Markowy producent – nie trzeba przepłacać za topowe modele, wystarczy sprzęt kogoś, kto żyje z robienia zasilaczy, a nie z przyklejania losowych naklejek.

Jeżeli komputer będzie stał w miejscu z niestabilną siecią elektryczną (stare budownictwo, częste przerwy), dobrym pomysłem jest mały UPS z funkcją AVR. Nie po to, żeby pracować godzinę na baterii, tylko żeby spokojnie zamknąć system, gdy „mrugnie” prąd.

Nośniki wymienne – kręgosłup komunikacji ze światem zewnętrznym

Jak przenosić dane, nie przenosząc syfu

Skoro komputer nie ma sieci, cała komunikacja odbywa się przez nośniki wymienne. W praktyce oznacza to, że:

• wszystko, co trafia na komputer air‑gapped, przechodzi przez Twoje ręce,
• pendrive staje się odpowiednikiem „koperty z banku” – jak ją zgubisz lub zainfekujesz, robisz sobie kłopot.

Dobrą praktyką jest ustalenie na początku parku nośników i trzymanie się go konsekwentnie, zamiast korzystać z losowych pendrive’ów z konferencji.

Pendrive’y – klasyka gatunku

Pendrive jest wygodny, ale też najłatwiej zgubić go w kieszeni kurtki. Uporządkowanie tematu na dzień dobry oszczędza kombinowania później.

Sensowny podział ról wygląda tak:

• Pendrive „most” (transferowy) – służy wyłącznie do przenoszenia plików pomiędzy komputerem online a air‑gapped. Może być zaszyfrowany, ale ważniejsza jest dyscyplina użycia:
  • na komputerze online jest regularnie skanowany antywirusem,
  • na komputerze air‑gapped masz włączony tylko autoplay = wyłączony i żadnych cudacznych makr.
• Pendrive „backupowy” – używany tylko do robienia kopii kluczy i haseł. Nie wędruje do komputera online, ląduje w sejfie lub innym bezpiecznym miejscu.
• Pendrive serwisowy – z obrazem instalacyjnym systemu, ewentualnie narzędziami ratunkowymi (rescue). Używany rzadko, ale dobrze mieć go przygotowanego wcześniej.

Naklejka, marker i małe etui na każdy z nich robią różnicę. Gdy za trzy lata wyciągniesz „ten szary pendrive”, będziesz chcieć wiedzieć, czy to backup, czy coś z prezentacji z pracy.

Karty SD i microSD – kiedy mają sens

Karty SD/microSD są wygodne w małych komputerach (np. mini‑PC, Raspberry Pi) lub jako dodatkowe miejsce na zaszyfrowane kontenery. Kilka uwag praktycznych:

• do kluczy i haseł wybieraj markowe karty, unikaj tanich, „niewiadomego pochodzenia”,
• zadbaj o czytnik kart podłączony przez USB, który możesz odpiąć i schować – to kolejny element kontrolujący wektor komunikacji,
• tak jak przy pendrive’ach, przypisz im konkretne role (np. karta tylko do backupu seedów portfeli).

Karta włożona na stałe do komputera traci część sensu – lepiej, gdy jest jednym z wymiennych „kluczy” do sejfu, a nie dodatkowym, stale podpiętym dyskiem.

Optical – płyty DVD/BD jako „zimny papier”

Jeżeli zależy Ci na bardzo trudnym do nadpisania nośniku, stare dobre płyty DVD albo BD nadal mają swoje zastosowanie. Są powolne, ale:

• raz wypalone, przy sensownym przechowywaniu, są statyczne – nikt zdalnie nie „dopisał” na nich malware’u,
• dają fizyczne poczucie kopii read‑only – dobra rzecz np. na archiwa kluczy GPG czy bardzo istotnych dokumentów.

Minusy są oczywiste: napęd trzeba mieć, nośniki starzeją się fizycznie, a samo wypalanie trwa. To nie jest podstawowa metoda backupu, raczej dodatkowa warstwa dla osób, które lubią nadmiarowe zabezpieczenia.

Organizacja nośników – etykiety to też bezpieczeństwo

Bałagan w nośnikach prędzej czy później kończy się tym, że ktoś formatuje nie ten pendrive. Prosty system porządkowania robi robotę:

• Unikalne nazwy woluminów – zamiast „USB DISK” nazwij nośnik „AIR‑BRIDGE‑01”, „BACKUP‑PASS‑A” itp.
• Etykiety fizyczne – kawałek taśmy i marker: rola, data utworzenia, ewentualnie skrócona informacja o zawartości (bez zdradzania wszystkiego).
• Małe pudełko lub organizer – rozdziel nośniki „online/most” od „czysto offline”. Nie trzymaj wszystkiego w jednym piórniku po długopisach.

Przy większej liczbie kopii można zrobić prostą kartkę‑legendę (trzymaną osobno od nośników), opisującą, który pendrive do czego służy. To szczególnie pomocne, gdy komputer ma obsługiwać więcej niż jedna osoba.

Szyfrowanie nośników wymiennych

Nośniki, które opuszczają mieszkanie albo mogą wylądować w czyjejś kieszeni, powinny być zaszyfrowane. Dotyczy to zwłaszcza:

• pendrive’ów z kopiami kluczy i haseł,
• nośników z zaszyfrowanymi backupami portfeli czy dokumentów.

Typowy, praktyczny model:

• na komputerze air‑gapped tworzysz zaszyfrowany kontener (np. VeraCrypt) na pendrive,
• wkładasz go potem do komputera online tylko po to, by kopiować całe, zaszyfrowane pliki albo obrazy – nie musisz montować wolumenu na maszynie podłączonej do sieci,
• hasło do kontenera pozostaje znane tylko Tobie i Twojej kartce w sejfie (jeśli ją w ogóle robisz).

Pendrive nieszyfrowany może mieć sens wyłącznie jako „most” do przenoszenia rzeczy z internetu do komputera offline (np. nowych wersji portfeli). Nie wkładaj na niego nic, co miałoby wartość samo w sobie.

Jak uniknąć przeniesienia złośliwego oprogramowania przez USB

Wektor USB jest jednym z nielicznych, który realnie zagraża komputerowi air‑gapped. Kilka prostych zasad bardzo obniża ryzyko:

• na komputerze offline wyłącz autostart nośników (w większości dystrybucji linuksowych i tak go już nie ma, ale lepiej to sprawdzić),
• otwieraj na nim tylko konkretne, oczekiwane pliki (np. instalator portfela z weryfikacją sum kontrolnych, zamiast „kliknij wszystko, co jest na pendrivie”),
• unikaj przenoszenia plików wykonywalnych, jeśli nie ma takiej potrzeby – większość danych kluczy, konfiguracji czy backupów to zwykłe pliki binarne/teksty, które same z siebie się nie uruchamiają,
• gdy coś instalujesz, pobierz to najpierw na komputer online, zweryfikuj hash/PGP, dopiero potem przenieś na nośnik do komputera air‑gapped.

Jeżeli korzystasz z Windowsa na komputerze offline, rozważ pracę na koncie bez uprawnień administratora do codziennych zadań i podnoszenie uprawnień tylko, gdy faktycznie coś instalujesz.

Backupy offline – ile kopii i gdzie

Bez backupu cały projekt sejfu kończy się bezlitośnie przy pierwszym padzie dysku. Klasyczna zasada 3‑2‑1 (trzy kopie, dwa różne typy nośników, jedna kopia poza domem) da się dobrze zaadaptować do komputera air‑gapped:

• 3 kopie – oryginał na dysku + co najmniej dwie kopie na nośnikach wymiennych,
• 2 typy nośników – np. pendrive + karta SD lub pendrive + płyta DVD,
• 1 kopia w innym miejscu – sejf firmowy, skrytka bankowa, zaufana osoba (ale wtedy w grę wchodzi szyfrowanie i temat zaufania).

Nie trzeba robić backupu codziennie. Dla kluczy kryptowalut i menedżera haseł sensownie jest mieć kopię po każdej istotnej zmianie (nowe konto, nowy portfel, zmiana hasła głównego). Warto spisać sobie prostą procedurę: co robisz, na który nośnik i w jakiej kolejności, żeby potem nie zgadywać.

Nośniki „jednorazowe” i wydruki

Niektóre dane (np. seed portfela, główne hasło) możesz chcieć mieć również w formie, której nie da się zainfekować zdalnie. Tu wchodzą w grę:

• wydruki na papierze – zapis seeda na kartce, przechowywany w sejfie; drukarkę najlepiej podpiąć bezpośrednio kablem do komputera offline i nie używać jej na innych maszynach sieciowych,
• metalowe „seed plate’y” – metalowe płytki do wybijania seedów, odporne na pożar czy zalanie; droższe, ale często spotykane przy większych kwotach w krypto,
• QR‑kody offline – zakodowanie kluczy publicznych/ adresów w QR, które potem łatwo przenosić wizualnie (np. skanem telefonu), bez podłączania komputera do sieci.

W przypadku QR‑kodów pilnuj, aby nie kodować w nich kluczy prywatnych, jeśli mają być skanowane przez telefon działający w sieci. Klucz prywatny to rzecz, która powinna opuścić komputer air‑gapped tylko w formie zaszyfrowanej albo absolutnie fizycznej (papier, metal).

Najczęściej zadawane pytania (FAQ)

Co to dokładnie jest komputer air‑gapped i czym różni się od zwykłego „offline”?

Komputer air‑gapped to sprzęt całkowicie fizycznie odcięty od sieci: bez kabla LAN, bez Wi‑Fi, bez Bluetooth i – co kluczowe – nigdy niepodłączany do internetu, nawet „na chwilę”. Cała komunikacja z takim komputerem odbywa się tylko przez nośniki wymienne, które sam kontrolujesz.

Zwykły komputer „offline” to zazwyczaj normalny PC lub laptop, który czasem ma wyłączone Wi‑Fi albo odłączony kabel. Gdy tylko podłączysz go z powrotem do sieci, wracają wszystkie typowe ryzyka: ataki z przeglądarki, malware, złośliwe aktualizacje. Air‑gap to nie „czasem offline”, tylko stały stan.

Dla kogo ma sens budowa komputera air‑gapped w domu?

Taki komputer ma sens, gdy ryzyko utraty danych jest duże, a dane są naprawdę wrażliwe. Przykładowo: trzymasz spore środki w kryptowalutach, prowadzisz mały biznes z danymi klientów, masz klucze do serwerów lub archiwa dokumentów, które po prostu nie mogą wyciec.

Jeśli używasz jednej giełdy krypto, kilku kont i nie masz „strategicznych” danych, zwykle wystarczą: dobry menedżer haseł, dwuskładnikowe logowanie i ewentualnie hardware wallet. Air‑gapped to już poziom „cyfrowy sejf”, a nie „komputer do wszystkiego”.

Do czego mogę używać komputera air‑gapped na co dzień?

Najczęstsze zastosowania są dość powtarzalne, bo to właśnie te obszary bolą najbardziej przy wycieku:

• przechowywanie kluczy prywatnych, fraz seed i portfeli kryptowalut w trybie cold storage,
• trzymanie bazy menedżera haseł (np. KeePass) na zaszyfrowanym dysku,
• tworzenie i aktualizacja zaszyfrowanych kopii zapasowych ważnych plików,
• generowanie i przechowywanie kluczy PGP/GPG oraz certyfikatów,
• archiwum „wrażliwych papierów”: skany dokumentów, umowy, dokumentacja medyczna.

Nie jest to maszyna do gier, Netflixa czy codziennej pracy biurowej. Uruchamiasz ją wtedy, gdy naprawdę potrzebujesz dotknąć „korzeni” swoich danych i kluczy.

Czy komputer air‑gapped jest bezpieczniejszy niż hardware wallet do kryptowalut?

To trochę jak porównanie sejfu na gotówkę z całym pancernym archiwum. Hardware wallet jest świetny, ale skupiony wyłącznie na kryptowalutach i opiera się na oprogramowaniu producenta. Jest prosty w obsłudze i dla większości osób to złoty środek bezpieczeństwa.

Komputer air‑gapped daje większą elastyczność: możesz na nim generować klucze, trzymać wiele różnych typów danych, podpisywać dokumenty, szyfrować archiwa. W zamian dostajesz większą złożoność i konieczność dbania o procedury. Często najlepszym rozwiązaniem jest połączenie obu: hardware wallet + air‑gapped jako „głęboka rezerwa”.

Jak przenosić pliki na komputer air‑gapped, żeby nie zawlec tam wirusów?

Podstawa to traktowanie każdego pendrive’a jak potencjalnie brudnego narzędzia. Nośniki, które dotykają internetu, powinny być skanowane na „zwykłym” komputerze, najlepiej na osobnym, zaufanym systemie (np. świeża instalacja Linuksa uruchamiana tylko do tego celu).

W praktyce dobrze działa podział na dwa typy nośników: jedne tylko do ruchu „z internetu do sejfu” (np. instalatory, aktualizacje, nowe wersje programów), a drugie tylko do backupów wychodzących z komputera air‑gapped. Do tego dochodzi zdrowy rozsądek: żadnych „znalezionych” pendrive’ów, żadnych nośników od nieznajomych.

Jakie zagrożenia usuwa komputer air‑gapped, a na co w ogóle nie pomaga?

Air‑gapped bardzo mocno ogranicza ataki zdalne: malware, keyloggery, masowe kampanie phishingowe, luki w przeglądarce czy złośliwe aktualizacje. Dane nie leżą w chmurze, więc nie znikną przy wycieku u dostawcy usług. Napastnik musi mieć fizyczny kontakt ze sprzętem lub nośnikiem – to zupełnie inny poziom trudności.

Nie jest to jednak magiczna tarcza. Nie ochroni przed kradzieżą komputera (bez szyfrowania jesteś przegrany), wymuszeniem hasła, głupimi błędami użytkownika na innych urządzeniach (np. wklejenie seeda w maila) czy świadomie wprowadzonym zainfekowanym pendrivem. Air‑gap chroni przed siecią, nie przed wszystkimi życiowymi wpadkami.

Czy muszę kupować nowy komputer, żeby zbudować zestaw air‑gapped?

Nie zawsze. Często wystarczy starszy, ale sprawny komputer lub laptop, z którego usuniesz wszelkie moduły komunikacji (albo je fizycznie wyłączysz) i zainstalujesz od zera system tylko do zadań „sejfowych”. Ważniejsze od mocy procesora jest tu to, jak dobrze odetniesz go od świata.

Nowy sprzęt ma sens, gdy stary jest zawodny (np. padający dysk) albo nie możesz w nim w pełni wyłączyć sieci. Wówczas prosty, energooszczędny zestaw z dyskiem SSD i bez modułów Wi‑Fi/Bluetooth to sensowna inwestycja – raz złożysz, a będzie służył latami jako spokojny, cichy strażnik kluczy.