Hasło supervisora ThinkPad — różnica względem hasła użytkownika

W laptopach ThinkPad funkcjonują dwa różne poziomy hasła chroniącego firmware, które łatwo ze sobą pomylić — hasło supervisora (administratora) oraz hasło użytkownika (Power-On Password). Mimo że oba wpisuje się w podobnym momencie uruchamiania laptopa, pełnią zupełnie inne funkcje i mają inne konsekwencje w razie ich zapomnienia.

Czym jest hasło supervisora

Hasło supervisora chroni dostęp do samych ustawień UEFI Setup — bez jego podania nie da się zmienić konfiguracji BIOS, w tym kolejności rozruchu, ustawień bezpieczeństwa czy trybu pracy poszczególnych podzespołów. To zabezpieczenie skierowane przede wszystkim do administratorów IT zarządzających flotą sprzętu firmowego, zapobiegające nieautoryzowanym zmianom konfiguracji przez zwykłych użytkowników laptopów.

Czym jest hasło użytkownika (Power-On Password)

Hasło użytkownika jest wymagane przy każdym uruchomieniu laptopa, jeszcze przed przekazaniem sterowania systemowi operacyjnemu. Jego zadaniem jest ochrona przed nieautoryzowanym dostępem do samego urządzenia — nawet jeśli ktoś fizycznie posiada laptop, bez znajomości tego hasła nie uruchomi na nim systemu. W przeciwieństwie do hasła Windows, które chroni tylko dostęp do konta, hasło Power-On blokuje laptop na najwcześniejszym możliwym etapie.

Jak te dwa hasła współdziałają

Możliwe jest ustawienie wyłącznie hasła supervisora bez hasła użytkownika — wtedy laptop uruchamia się normalnie, ale zmiana ustawień BIOS wymaga podania hasła. Możliwe jest też ustawienie obu haseł jednocześnie, z różnymi wartościami — w praktyce firmowej często stosowane, aby dział IT (znający hasło supervisora) mógł zarządzać konfiguracją, a użytkownik (znający tylko hasło Power-On) miał ograniczony dostęp wyłącznie do uruchomienia systemu.

Konsekwencje zapomnienia każdego z haseł

Zapomniane hasło Power-On przy zachowanym dostępie do hasła supervisora zwykle da się rozwiązać poprzez wejście w ustawienia BIOS i usunięcie lub zmianę zapomnianego hasła użytkownika. Sytuacja odwrotna — zapomniane hasło supervisora przy nieznajomości go w ogóle — jest trudniejsza, ponieważ to ono kontroluje możliwość jakiejkolwiek zmiany zabezpieczeń, w tym również usunięcia samego siebie.

Rola tych haseł w środowisku firmowym

W laptopach zarządzanych centralnie hasło supervisora bywa ustawiane automatycznie podczas wdrażania nowego sprzętu do floty, zgodnie z polityką bezpieczeństwa organizacji, i przechowywane w bezpiecznej bazie danych działu IT, niedostępnej dla zwykłego użytkownika. Przy zwrocie takiego laptopa do serwisu zewnętrznego (spoza struktury firmy) hasło to bywa celowo nieznane osobie oddającej sprzęt — w takiej sytuacji niezbędny jest kontakt z działem IT organizacji w celu jego czasowego usunięcia lub przekazania.

Co warto wiedzieć przed zakupem laptopa poleasingowego

Laptopy pochodzące z leasingu zwrotnego floty firmowej powinny mieć usunięte oba rodzaje haseł przed trafieniem do dalszej sprzedaży — ich obecność po zakupie jest sygnałem, że proces wycofania sprzętu z użytku firmowego nie został przeprowadzony prawidłowo. Warto to sprawdzić jeszcze przed sfinalizowaniem zakupu używanego sprzętu, najlepiej poprzez jednorazowe uruchomienie i próbę wejścia do menu BIOS w obecności sprzedającego.

Najczęstsze pytania

Czy oba hasła muszą być takie same? Nie, mogą być różne — to pozwala rozdzielić uprawnienia administratora od uprawnień zwykłego użytkownika laptopa.

Czy da się usunąć hasło supervisora bez jego znajomości? W laptopach firmowych zarządzanych centralnie zazwyczaj tak, poprzez dział IT dysponujący odpowiednimi narzędziami; w sprzęcie prywatnym bywa to znacznie trudniejsze.

Czy hasło supervisora chroni też przed zmianą kolejności rozruchu? Tak, to jedna z kluczowych funkcji tego zabezpieczenia — uniemożliwia uruchomienie laptopa z zewnętrznego nośnika bez znajomości hasła.

Czy warto samodzielnie ustawiać oba hasła na prywatnym laptopie? To zależy od potrzeb — dla większości użytkowników domowych wystarczające jest hasło konta Windows, hasła BIOS mają sens głównie przy dodatkowej ochronie przed fizyczną kradzieżą sprzętu.