Airgapped – jak stworzyć komputer odcięty od internetu do przechowywania kluczowych danych

Redakcja lipiec 22, 2025

Wprowadzenie do koncepcji air-gapped system

Jeśli zastanawiasz się nad airgapped system konfiguracja, prawdopodobnie chcesz skutecznie chronić swoje najbardziej wrażliwe dane przed cyberatakami, złośliwym oprogramowaniem i niepożądanym dostępem z zewnątrz. Koncepcja air-gapped (czasem tłumaczona jako „odcięta powietrzem”) oznacza fizyczne lub logiczne oddzielenie komputera bądź sieci od publicznego internetu i innych niezaufanych środowisk. W efekcie taki system praktycznie nie ma bezpośredniej łączności sieciowej, co zdecydowanie utrudnia przeniknięcie wirusów czy atak hackerów.

Dobra wiadomość—ochrona danych poprzez zastosowanie air-gapped urządzeń staje się coraz bardziej dostępna także dla zwykłych fanów technologii. Według raportów z 2024 roku średni globalny koszt naruszeń danych wyniósł 4,8 miliona dolarów, a ataki ransomware dotknęły aż 92% branż. Nic dziwnego, że wiele firm i osób prywatnych szuka sposobów, by bezwzględnie zabezpieczyć swoje pliki. Air gaps są uznawane za jedną z najskuteczniejszych barier przed cyberzagrożeniami, choć konfiguracja i utrzymanie takiego systemu wymaga planowania i konsekwentnych działań.

W tym artykule dowiesz się, czym jest prawdziwy air-gapped system (z perspektywy sprzętowej, programowej i proceduralnej) i jakie korzyści może przynieść. Poznasz także kroki, dzięki którym samodzielnie skonfigurujesz komputer odcięty od internetu do przechowywania kluczowych danych. Przyjrzymy się różnym rodzajom air gap, zastosowaniom w biznesie i w życiu codziennym, a na koniec pokażemy, jak uniknąć potencjalnych pułapek przy obsłudze takiego rozwiązania.

Zalety i zagrożenia

Największe plusy

Air-gapped systemy są powszechnie wykorzystywane tam, gdzie bezpieczeństwo danych stawiane jest na pierwszym miejscu. Możesz spotkać je w instytucjach rządowych, placówkach wojskowych czy w sektorze finansowym. Wśród głównych zalet, które mogą Cię przekonać do zainwestowania w air gap, wyróżniają się:

Wysoki poziom ochrony przed atakami zdalnymi Złośliwe oprogramowanie zazwyczaj rozprzestrzenia się przez internet lub sieć lokalną. Jeśli komputer w ogóle nie jest podłączony do żadnej sieci, ryzyko takiej infekcji spada niemal do zera.
Ochrona przed wyciekiem danych Przy poprawnej konfiguracji i kontroli fizycznego dostępu (np. ograniczeniu użycia pamięci USB), drastycznie maleje prawdopodobieństwo, że ktoś skopiuje kluczowe pliki i wyśle je gdzieś dalej.
Redukcja wektorów ataku Brak dostępu do sieci eliminuje wiele luk. Nawet jeśli Twój system ma luki w oprogramowaniu, cyberprzestępcy przepadają bez możliwości zdalnego połączenia.
Wsparcie w przypadku awarii lub katastrof Air gap ułatwia tworzenie kopii zapasowych offline (np. w chmurze, ale w ramach osobnej, prywatnej konfiguracji). Taki backup jest trudny do uszkodzenia z zewnątrz. Przy fizycznym urządzeniu odłączonym od sieci zawsze masz pewność, że dane są tam w niezmienionej postaci.

Częste ryzyka i ograniczenia

Mimo licznych zalet warto zdawać sobie sprawę z wyzwań, jakie niesie za sobą utrzymanie odłączonego komputera:

Koszty utrzymania i zarządzania Tego typu infrastruktura może wymagać dodatkowego sprzętu, personelu (bądź czasu) i procedur. W firmach ograniczenia w dostępie do sieci często wpływają na wydajność pracy, bo działy muszą przeprowadzać aktualizacje bądź inspekcje ręcznie.
Ryzyko ataku przez nośniki wymienne Spektakularne przykłady, takie jak Stuxnet czy Agent.BTZ, pokazały, że nawet air-gapped komputery mogą zostać zainfekowane poprzez np. pendrive. To oznacza, że bezpieczne procedury pracy z nośnikami są absolutnym obowiązkiem.
Brak automatycznych aktualizacji Jeśli komputer nie ma dostępu do internetu, aktualne łatki czy nowe wersje programów musisz wgrywać ręcznie. To wymaga staranności i sprawdzania, czy wnoszone pliki nie są zainfekowane.
Czynnik ludzki Najczęściej zawodzą procedury i ludzie. Jeśli przestaniesz przestrzegać własnych reguł (np. czasem podłączysz komputer do sieci, bo „tylko na chwilę”), cała idea air gapa traci sens.

Dobrze zaprojektowana, a następnie właściwie utrzymywana konfiguracja systemu air-gapped daje jednak niezrównany poziom bezpieczeństwa. W dalszej części zobaczysz, w jaki sposób zaplanować proces i zbudować takie środowisko samodzielnie.

Jak zaplanować airgapped?

Określenie celu i zakresu

Zanim zaczniesz planować separację sieciową, odpowiedz sobie na pytanie: dlaczego tak naprawdę potrzebujesz air gap? Czy chcesz chronić pliki zawierające dane finansowe albo strategiczne? A może archiwizujesz zdjęcia rodzinne, których nie chcesz wystawiać na ryzyko wycieku? Określenie celu pozwoli Ci:

Wybrać optymalny sprzęt (np. czy wystarczy stary laptop, czy lepiej zainwestować w nowy komputer stacjonarny).
Zdefiniować rozmiar pamięci masowej (potrzebnej do przechowywania plików).
Dobrać procedury bezpieczeństwa adekwatne do ryzyka (np. czy pendrive’y w ogóle będą dopuszczalne, czy może użyjesz wyłącznie płyt DVD jako nośnika danych).

Dzięki temu będziesz w stanie rozplanować budżet i nakład pracy. Skoro Twoim głównym celem jest obrona przed cyberatakami, nie warto oszczędzać na podstawowych zabezpieczeniach—ale też nie ma sensu tworzyć nadmiernie skomplikowanego systemu, który utrudni Ci codzienne korzystanie z komputera.

Wybór sprzętu i systemu operacyjnego

Kolejny krok to zdecydowanie, czy twój air-gapped komputer będzie oparty na:

Sprzęcie nowym Zapewnia większe wsparcie producenta, dłuższy cykl życia i potencjalnie mniej wad sprzętowych. Minusem jest wyższy koszt zakupu.
Sprzęcie używanym Może być tańszy. Jednak starsze maszyny mogą często wymagać dodatkowych działań, aby zapewnić kompatybilność z dzisiejszymi aplikacjami.

W kwestii systemu operacyjnego masz podobne dylematy. Popularne dystrybucje Linux (np. Ubuntu lub Debian) są chętnie wybierane do celów bezpieczeństwa, gdyż oferują rozbudowane wsparcie społeczności i częste aktualizacje. Windows wymaga nieco większej uwagi przy wdrażaniu poprawek, ale też jest dobrze znany większości użytkowników. Najważniejsze jest systematyczne dostarczanie łatek bezpieczeństwa, najlepiej w trybie offline (np. pobierasz paczkę poprawek na zaufanym urządzeniu z dostępem do sieci, następnie sprawdzasz, czy nie jest zakażona, i dopiero przenosisz ją na air-gapped komputer).

Pamiętaj, że nowszy system operacyjny może wymagać lepszych parametrów sprzętowych, w tym większej ilości RAM i nowocześniejszego procesora. Twoje potrzeby wyjdą w praniu—przemyśl jednak ten aspekt jeszcze na etapie planowania i kalkulacji kosztów.

Krok po kroku: tworzenie komputera odciętego od internetu

Kiedy masz już jasny cel, określoną listę wymagań i wybrany sprzęt, czas na konkretną konfigurację systemu air-gapped. W tej sekcji przyjrzymy się kluczowym etapom.

Izolacja fizyczna

Pierwsza kwestia to fizyczne odłączenie komputera od wszelkich źródeł internetu. Możesz to zorganizować poprzez:

Brak kabla sieciowego: najprostszy sposób, niewkładanie w ogóle przewodu Ethernet.
Wyłączenie i usunięcie karty Wi-Fi: jeśli komputer ma wbudowaną kartę bezprzewodową, wyjmij ją (lub wyłącz w BIOS-ie, jeżeli jest taka możliwość).
Odseparowane pomieszczenie: w niektórych środowiskach korporacyjnych stosuje się osobne, dedykowane sale, do których nie wolno wnosić urządzeń z dostępem do sieci.

W firmach wojskowych lub rządowych można znaleźć specjalne pokoje, w których obowiązują surowe zasady (np. zero smartfonów w środku). Jeśli chcesz zachować maksymalne bezpieczeństwo w domowych warunkach, rozważ przynajmniej solidne ograniczenie fizycznego dostępu dla niepowołanych osób.

Rozmieszczenie sprzętu

Jeśli planujesz postawić air-gapped maszynę obok innych komputerów w pomieszczeniu, pamiętaj, że wciąż istnieje niewielkie ryzyko ataków typu AirHopper lub NFCdrip, w których dane mogą być przesyłane poprzez sygnały radiowe (nawet na 100 metrów). To ekstremalne scenariusze, ale fakty są takie, że już w 2014 roku badacze pokazali możliwość wysyłania danych do telefonu komórkowego za pomocą modulacji fal w paśmie FM. Jeśli więc liczysz na absolutną pewność, staraj się trzymać air-gapped komputer w innym pomieszczeniu, a przynajmniej daleko od urządzeń z dostępem do sieci i telefonów komórkowych.

Konfiguracja systemu

Gdy fizyczna strona jest już opanowana, nadchodzi moment na instalację i konfigurację systemu operacyjnego:

Czysta instalacja Postaw system od zera, na sformatowanym dysku. Upewnij się, że nie ma partycji odzyskiwania czy archiwalnych danych, które mogłyby zawierać złośliwe oprogramowanie.
Aktualizacje offline Przygotuj na drugim komputerze (z dostępem do sieci) paczkę aktualizacji. Sprawdź jej integralność i brak wirusów (np. skanowanie kilkoma antywirusami), a następnie wgraj u siebie. Powtarzaj tę procedurę regularnie—w miarę pojawiania się nowych poprawek.
Wyłączenie zbędnych usług Zredukuj liczbę potencjalnych punktów ataku do minimum. Wyłącz usługi czy demony, które nie są Ci potrzebne, np. Bluetooth, Remote Desktop (jeśli używasz Windows), czy serwery bazodanowe, z których nie korzystasz.
Konfiguracja kont użytkowników Zakładaj tylko te konta, które rzeczywiście są potrzebne (najlepiej jedno administracyjne i jedno zwykłe do codziennego użytku). Skonfiguruj silne hasła, a w środowisku firmowym możesz rozważyć dodatkowe metody uwierzytelniania (np. klucze sprzętowe).

Jeżeli korzystasz z systemu Windows 7 (w testowych, starszych środowiskach), pamiętaj, że oficjalne wsparcie się skończyło, a luki w zabezpieczeniach mogą pozostać niezałatane. Dlatego lepiej postawić co najmniej Windows 10, chyba że specjalistyczne oprogramowanie wymusza starszy system. Wtedy konieczna jest tym bardziej rygorystyczna polityka izolacji i częste skanowanie plików.

Kontrola przepływu danych

Wspomnieliśmy już, że duże ryzyko w systemach air-gapped wynika z możliwego wykorzystania nośników wymiennych. Dlatego kluczowe jest stworzenie jasnych reguł:

Preferowanie jednorazowych nośników (np. płyty DVD) do przenoszenia danych do systemu. Po jednokrotnym użyciu płyty można ją zarchiwizować, co ogranicza ryzyko wielokrotnej infekcji.
Skanowanie pendrive’ów na komputerze z aktualnymi antywirusami, zawsze przed podłączeniem do air-gapped maszyny.
Ograniczenie fizycznego dostępu do portów USB, np. poprzez blokady sprzętowe albo BIOS-owe wyłączenie portów, do których nie potrzebujesz dostępu.
Ewidencja plików wnoszonych i wynoszonych z air-gapped urządzenia, zwłaszcza w firmach. Przy dużej liczbie osób to ułatwi identyfikację, kto i kiedy kopiował dane.

Zasady pracy z nośnikami

Załóżmy, że chcesz wnieść raport finansowy z innego działu. Najpierw pobierasz plik z serwera, umieszczasz go na pendrive, potem skanujesz go kilkoma narzędziami bezpieczeństwa (np. antywirus, skan heurystyczny). Następnie możesz wprowadzić go na komputer air-gapped, ale najlepiej nagrać go na płytę DVD, zwłaszcza jeżeli pendrive służy do wielu operacji. Każdy taki krok jest czasochłonny, ale znacząco zmniejsza ryzyko.

Monitorowanie i testowanie bezpieczeństwa

Po uruchomieniu systemu warto regularnie robić audyty jego stanu:

Skan dysku specjalistycznym oprogramowaniem (z paczek offline), które wykrywa ewentualne rootkity lub wirusy.
Sprawdzanie integralności plików (np. przy pomocy sum kontrolnych): upewniasz się, że żadne niepożądane modyfikacje nie zaszły w ważnych plikach.
Fizyczna kontrola dostępu: czy ktoś nie włożył pendrive i nie wypożyczył Twoich danych bez zgody? Czy nikt nie otwierał obudowy komputera?

Testy warto planować w harmonogramie, np. raz na kwartał lub częściej, jeśli przechowujesz wyjątkowo newralgiczne informacje.

Przykładowe scenariusze wykorzystania

Przechowywanie kluczowych danych

Jednym z najczęstszych zastosowań air-gapped maszyn jest przechowywanie kopii zapasowych i archiwizacja kluczowych dokumentów:

Firmowa księgowość lub umowy: trzymane na komputerze bez dostępu do sieci, aby zminimalizować ryzyko kradzieży poufnych danych.
Dane osobowe: w myśl przepisów RODO dużo firm dba o bezpieczeństwo bazy klientów—air-gapped urządzenie może pomóc spełnić wysokie standardy ochrony.
Prywatne archiwa: zdjęcia rodzinne, skany dokumentów—wszystko to można odciąć od internetu i mieć pewność, że dane nie wyciekną przez atak ransomware.

Archiwa historyczne i dokumentacja

Wiele instytucji naukowych lub państwowych przechowuje cenne zbiory archiwalne w postaci cyfrowej. Minimalizuje to ryzyko utraty tych danych w wyniku ataku albo zwykłego przypadkowego usunięcia. Biblioteki czy muzea coraz częściej inwestują w praktycznie odizolowane urządzenia, na których bezpiecznie gromadzą swoje zasoby.

Sieci wojskowe i organizacje rządowe

Wojsko i rząd zwykle mają wyśrubowane normy bezpieczeństwa. Tam często stosuje się fizyczny rozdział infrastruktury na tzw. high side (systemy i dane ściśle tajne) oraz low side (mniej wrażliwe, np. publiczne strony internetowe). Zgodnie z modelem Bell–LaPadula kontroluje się, kto może czytać i zapisywać dane w danym poziomie bezpieczeństwa, a systemy są z reguły odseparowane od siebie na poziomie sprzętu i sieci.

Krytyczna infrastruktura przemysłowa

W przemyśle często chroni się systemy OT (Operational Technology), takie jak w elektrowniach, rafineriach czy zakładach wodociągowych, poprzez fizyczne odcięcie od sieci zewnętrznych. Pozwala to uniknąć katastrofalnych ataków, które mogłyby doprowadzić do przerw w dostawach wody, prądu czy gazu. Najlepszy przykład to afera ze Stuxnetem, gdzie złośliwe oprogramowanie dostało się do infrastruktury nuklearnej poprzez pendrive—mimo że sam komputer teoretycznie był odcięty.

Powszechne ataki na systemy air-gapped

Wpływ złośliwego oprogramowania (Stuxnet, Agent.BTZ)

Stuxnet to bodaj najgłośniejszy przykład ataku na air-gapped sieć: wirus został zaprojektowany, by sabotować irańskie wirówki nuklearne. Udowodnił, że nawet brak dostępu do internetu nie gwarantuje pełnej ochrony—złośliwe oprogramowanie może przedostać się za pomocą nośników USB, jeśli w procedurach bezpieczeństwa pojawią się luki. Podobnie Agent.BTZ zaatakował sieci wojskowe, wielokrotnie replikując się przez pendrive.

Metody eksfiltracji danych (FM, NFCdrip, AirHopper)

Badacze wielokrotnie pokazywali, że do komunikacji z odłączonym komputerem da się wykorzystać nietypowe kanały:

FM W 2014 roku projekt AirHopper dowiódł, że komputer bez podłączenia do sieci może emitować fale radiowe w paśmie FM, a pobliski smartfon może je odebrać i odczytać zawartość.
NFCdrip W 2018 roku wskazano, że można użyć protokołu NFC (Near Field Communication) w sposób niezamierzony, by przesłać dane nawet na 100 metrów, co jest znacznie większym dystansem niż nominalnie obsługiwany przez NFC.

Te technologie brzmią futurystycznie, ale potwierdzają, że pełne bezpieczeństwo wymaga surowych środków ostrożności. Jeśli obawiasz się takich ataków, rozważ specjalne ekrany Faradaya (które blokują sygnały radiowe), a przynajmniej trzymaj telefony komórkowe z dala od komputera air-gapped.

Najlepsze praktyki konserwacji i aktualizacji

Regularne testy i audyty bezpieczeństwa

Tak jak Twoje auto wymaga przeglądu technicznego, tak i komputery offline muszą przechodzić okresowe kontrole:

Przegląd hardware Upewnij się, że wszystkie elementy komputera działają prawidłowo, a protokoły bezpieczeństwa w BIOS-ie nie zostały naruszone.
Skany antywirusowe offline Wgrywaj świeżą bazę sygnatur, sprawdzaj, czy nie pojawiły się podejrzane pliki lub procesy.
Porównywanie sum kontrolnych Krytyczne pliki systemowe czy aplikacje najlepiej przechowywać z sumami kontrolnymi (np. SHA-256). Gdyby coś się zmieniło, od razu wykryjesz intruza.

Narzędzia do monitorowania

Choć air-gapped komputery nie łączą się z siecią, możesz korzystać z narzędzi do regularnego sprawdzania logów czy stanu plików. Czasem przydaje się specjalistyczny software do audytowania zmian w rejestrze systemowym (np. w Windows) albo narzędzie do oceny spójności plików binarnych (w Linuksie).

Aktualizacje offline

Wsystemach air-gapped ściągasz i sprawdzasz pakiety aktualizacyjne na innej, zaufanej maszynie. Zwróć uwagę na spójność pobranych plików—najlepiej, aby były pobrane tylko z oficjalnych źródeł i weryfikowane sumami kontrolnymi. Dopiero wtedy można je przenieść (najlepiej płytą jednorazowego zapisu albo pendrive dokładnie skanowanym) do izolowanego stanowiska.

Niektóre firmy decydują się na tworzenie prywatnego repozytorium poprawek, aby wygodnie dostarczać je do wewnętrznych komputerów. Archiwizuje się tam kolejne wersje oprogramowania, więc w razie problemu można cofnąć się do poprzedniej działającej wersji. Tego typu praktyki przydają się szczególnie w duzych korporacjach z kilkoma air-gapped środowiskami.

Plany odzyskiwania danych

System air-gapped bywa też kluczowym elementem planu disaster recovery. Masz wtedy pewność, że nawet przy rozległym ataku ransomware w sieci firmowej, Twoje odizolowane komputery zachowają kopie zapasowe. Ważne, abyś pamiętał o:

Regularnych backupach: dane powinny być zapisywane według konkretnego harmonogramu, np. raz w tygodniu lub codziennie, w zależności od rangi i dynamiki plików.
Testach odtwarzania: sprawdzaj, czy zarchiwizowane pliki faktycznie da się odzyskać. Zdarza się, że uszkodzone archiwum pozostaje niezauważone do momentu, gdy będzie za późno.
Bezpiecznym przechowywaniu nośników: trzymanie płyt lub dysków w ognioodpornym sejfie to dobry pomysł, zwłaszcza jeśli masz unikatowe, krytyczne dane.

Podsumowanie i co dalej

Air-gapped system konfiguracja może wydawać się czymś skomplikowanym, ale kiedy raz zrozumiesz podstawowe zasady, okazuje się znacznie prostsza niż myślisz. Kluczem jest sumienne trzymanie się procedur i dbanie o detale. Kiedy odcinasz urządzenie od internetu, zakładasz tym samym skorupę nie do przebicia dla większości typowych ataków hakerskich. W dobie wszechobecnych zagrożeń cyfrowych, nawet skromna inwestycja czasu i zasobów w konfigurację air-gapped komputera potrafi dać spokój ducha—Twoje dane po prostu stają się niezwykle trudne do wykradzenia.

Warto zacząć od jasnego zdefiniowania celu, bo to od niego zależy Twoje następne kroki (np. rodzaj sprzętu, sposób przeprowadzania aktualizacji, ograniczenia w korzystaniu z portów USB). Dobrze jest też skonsultować się z osobami, które mają doświadczenie w tworzeniu bezpiecznych środowisk. Jeśli jednak czujesz, że chcesz postawić air-gapped na własną rękę, pamiętaj o regularnych testach i konserwacji, aby Twoja konfiguracja nie stała się tylko pustą formalnością.

Na koniec, pozostaje jeszcze kwestia ludzkiego czynnika—pamiętaj o edukacji wszystkich, którzy mają styczność z systemem. Nawet najlepsze techniczne mechanizmy nie pomogą, gdy ktoś nieopatrznie włoży do portu USB pendrive niewiadomego pochodzenia. Dobrą praktyką jest sporządzanie listy dozwolonych nośników, prowadzenie regularnych szkoleń i okresowe przypominanie zasad.

Dobra wiadomość jest taka, że chroniąc swoje dane offline, robisz duży krok w stronę bezpieczeństwa, a jednocześnie uczysz się nawyków, które mogą przydać się w innych obszarach życia cyfrowego. Niezależnie, czy jesteś fanem technologii, czy po prostu chcesz mieć pewność, że nikt nie wykradnie Twoich najcenniejszych plików, air-gapped system jest solidnym zabezpieczeniem. Każdy krok, który podejmujesz w stronę takiej izolacji, wzmacnia mur, jakim otaczasz swoje dane. Możesz działać spokojniej—i to jest najważniejsze.