Proteção contra redefinição de fábrica em dispositivos Android corporativos: contas FRP, limpezas e dispositivos bloqueados

Um dispositivo de campo retorna à base. Alguém o restaura pelo modo de recuperação para prepará-lo para o próximo funcionário. Ao reiniciar, o assistente de configuração solicita uma conta do Google que estava anteriormente no dispositivo. Ninguém sabe que conta era essa, e o telefone agora está inutilizável.

O mecanismo que deixa seus dispositivos devolvidos inacessíveis é a Factory Reset Protection (FRP). É também o que faz com que um celular corporativo roubado não tenha valor para o ladrão. Você não quer desativar o FRP. Você quer decidir previamente de quem é a conta que desbloqueia seus dispositivos e quer escolher, a cada restauração, se o FRP continua ativo.

Este tutorial aborda seis etapas:

1. Configurar contas de administrador de FRP dedicadas.
2. Aplicar essas contas por política.
3. Escolher a limpeza correta para cada situação.
4. Configurar o comportamento do FRP para limpezas automáticas de conformidade.
5. Executar um processo de devolução de dispositivos que evite bloqueios.
6. Lidar com um dispositivo que já está bloqueado.

Aviso: Este guia não inclui etapas de bypass (violação) de FRP e nunca incluirá. Se um dispositivo estiver bloqueado, os caminhos legítimos de recuperação são abordados na Etapa 6.

Antes de começar

Certifique-se de ter os seguintes itens à disposição:

• Dispositivos corporativos registrados como totalmente gerenciados ou como corporativos com perfil de trabalho. Você pode registrá-los via zero-touch, Samsung Knox Mobile Enrollment ou código QR.
• Acesso de administrador ao console do MDM, com permissões para editar políticas e enviar comandos de limpeza (wipe).
• Um cofre de senhas compartilhado pela sua equipe de TI.
• Um dispositivo de teste sobressalente que você esteja disposto a restaurar várias vezes.

Observação: As contas corporativas de FRP não se aplicam a dispositivos pessoais que possuem apenas um perfil de trabalho (BYOD). Nesses dispositivos, o FRP permanece vinculado à conta pessoal do Google do proprietário, e não há motivo para controlá-lo.

Como o FRP se comporta em um dispositivo corporativo

O Google introduziu o FRP no Android 5.1. Sua função é simples. Após determinadas restaurações, o dispositivo não concluirá a configuração até que alguém faça login com uma conta autorizada do Google.

O que o aciona. O FRP é aplicado principalmente após uma restauração "não confiável". Um exemplo típico é uma restauração iniciada a partir do modo de recuperação, na qual ninguém comprovou conhecer o bloqueio de tela. Uma restauração iniciada a partir das Configurações por alguém que sabe a senha de desbloqueio geralmente não aciona o FRP. O comportamento exato mudou ao longo das versões do Android e entre fabricantes, portanto, teste em seus próprios modelos antes de confiar nele.

Qual conta desbloqueia o dispositivo. Em um celular de consumidor, o FRP pede a última conta Google sincronizada no dispositivo. Dispositivos gerenciados funcionam de outro jeito: a política do dispositivo pode listar contas de administrador específicas para a proteção contra redefinição de fábrica. Na Android Management API, esse é o campo frpAdminEmails. O Google o documenta assim: após uma redefinição, um dos administradores listados precisa entrar para desbloquear o dispositivo. Se nenhum administrador estiver listado, o dispositivo não oferecerá proteção contra redefinição de fábrica.

Como as limpezas remotas interagem com ele. Uma limpeza enviada pelo console pode manter ou apagar os dados de proteção contra redefinição. Na Android Management API, a flag PRESERVE_RESET_PROTECTION_DATA controla isso. Se os dados forem mantidos, o FRP pode ser aplicado após a limpeza. Se forem apagados, o dispositivo inicia em um assistente de configuração limpo.

Por que os ladrões o odeiam. Um dispositivo restaurado que exige uma conta desconhecida não pode ser configurado, usado ou facilmente revendido. Isso só funciona se você ainda puder acessá-lo.

Etapa 1: Criar contas de administrador de FRP dedicadas

As contas que você listar aqui são as chaves para todos os dispositivos restaurados da sua frota. Trate-as como credenciais de emergência.

1. Crie duas contas do Google que pertençam à área de TI, e não a uma pessoa específica, por exemplo frp-admin-1@yourcompany.com e frp-admin-2@yourcompany.com. Use contas do Google Workspace ou contas padrão do Google controladas pela TI. Ter duas oferece uma alternativa caso uma seja bloqueada ou suspensa.
2. Armazene ambos os conjuntos de credenciais em seu cofre compartilhado, com o registro de acessos (logs) ativado.
3. Se você ativar a Verificação em duas etapas, certifique-se de que o segundo fator seja algo que sua equipe sempre possa acessar. Uma chave de segurança física mantida na base funciona, assim como um segredo de autenticador armazenado no cofre. Quem estiver desbloqueando o dispositivo será solicitado a fornecer esse fator durante a configuração.
4. Confirme que cada conta consegue concluir um login interativo normal no Google, por exemplo em um navegador no seu computador. Não adicione as contas ao dispositivo de teste: uma conta sincronizada no dispositivo poderia desbloqueá-lo por conta própria e invalidar o teste da Etapa 2.

Aviso: Nunca use a conta pessoal ou de trabalho nominal de um único administrador como o único admin de FRP. Quando essa pessoa sair da empresa ou sua conta for suspensa, todos os dispositivos restaurados que dependem dela ficarão bloqueados.

Observação: Nem todo tipo de conta se comporta da mesma forma na tela de verificação do FRP. Antes de distribuir para a frota, confirme se o tipo de conta escolhido desbloqueia seus modelos de dispositivo executando o teste completo na Etapa 2.

Resultado esperado: Você possui duas contas do Google sob posse da TI, ambas no cofre, ambas capazes de fazer login e ambas com um segundo fator que sua equipe pode acessar.

Etapa 2: Aplicar contas de administrador de FRP por política

1. Abra a política usada pelos seus dispositivos corporativos. No Nomid MDM, as contas de administrador de proteção contra restauração de fábrica estão na aba Segurança da política.
2. Adicione os dois endereços de e-mail dos administradores FRP e salve a política. Se você usa várias políticas, adicione as contas a todas as políticas dos seus dispositivos corporativos. Verifique cada política em uso, não apenas um modelo, para que nenhum dispositivo fique sem elas.
3. Se você trabalha diretamente com a Android Management API, o fragmento de política equivalente tem a seguinte aparência:

{
  "frpAdminEmails": [
    "frp-admin-1@yourcompany.com",
    "frp-admin-2@yourcompany.com"
  ]
}

1. Verifique na lista de ativos se os dispositivos fizeram check-in desde a alteração. Um dispositivo que ficou offline mantém a lista antiga, ou nenhuma lista, até sincronizar.
2. Prepare o dispositivo reserva para o teste. Registre-o na mesma política, ou em uma cópia de teste com os mesmos administradores FRP, e não adicione nenhuma conta Google a ele. Confirme que ele fez check-in desde a alteração.
3. Teste o ciclo completo. Envie ao dispositivo reserva uma limpeza que mantém o FRP. Quando ele pedir uma conta, entre com uma conta de administrador FRP e confirme que a configuração continua. Se a conta for recusada, consulte as perguntas frequentes de solução de problemas antes da implantação.
4. Registre novamente o dispositivo reserva após cada teste. A limpeza o remove do gerenciamento, então ele precisa outra vez da configuração habitual por QR code, zero-touch ou Knox Mobile Enrollment.

Resultado esperado: Todos os dispositivos corporativos receberam uma política com dois administradores de FRP, e você comprovou em hardware real que essas contas desbloqueiam um dispositivo restaurado.

Etapa 3: Escolher o tipo de restauração correto para cada situação

É aqui que a maioria dos bloqueios é evitada ou criada. No Nomid, o comando de limpeza (wipe) mantém o FRP por padrão, e há uma chave para removê-lo. Faça uma escolha consciente sempre que utilizar essa opção.

Uma regra simples cobre a maioria dos casos: remova o FRP apenas quando o dispositivo estiver fisicamente nas mãos da TI. Em todos os outros casos, mantenha o FRP. Suas contas de administrador de FRP permitirão recuperar o dispositivo se ele retornar algum dia.

Aviso: Remover o FRP de um dispositivo que não está com você entrega a quem estiver com ele um aparelho limpo e pronto para revenda. Se você não tiver certeza de onde o dispositivo está, mantenha o FRP.

Resultado esperado: Sua equipe possui uma regra documentada de quando ativar a opção "remover FRP", e limpezas por perda ou roubo mantêm o padrão.

Etapa 4: Configurar o FRP para limpezas de conformidade

As regras de aplicação da política podem fazer a limpeza de um dispositivo automaticamente quando ele continua fora de conformidade. Um exemplo típico é um dispositivo que nunca atende à política de senha. Essas limpezas acontecem sem ninguém acompanhando, geralmente em dispositivos que não estão no depósito. Por isso, são limpezas defensivas. Antes de alterar essas regras, confirme que a Etapa 2 está concluída para esta política: uma limpeza automática que mantém o FRP só é seguro se a lista de administradores FRP no dispositivo estiver atualizada.

1. Abra as regras de aplicação de políticas na sua política.
2. Para qualquer regra que resulte em uma limpeza (wipe), configure-a para preservar o FRP. O Nomid oferece suporte a essa configuração em regras de aplicação que executam limpeza.
3. Em termos da Android Management API, a regra se parece com isto:

{
  "policyEnforcementRules": [
    {
      "settingName": "passwordPolicies",
      "blockAction": { "blockAfterDays": 0 },
      "wipeAction": { "wipeAfterDays": 7, "preserveFrp": true }
    }
  ]
}

Resultado esperado: Limpezas automáticas mantêm os dispositivos protegidos, e a TI ainda pode desbloqueá-los com as contas de administrador de FRP.

Etapa 5: Utilizar o runbook de dispositivos devolvidos

A maioria dos bloqueios na base ocorre porque alguém restaurou um dispositivo devolvido localmente em vez de limpá-lo a partir do console. Utilize esta sequência para cada dispositivo que retornar.

1. Registre a devolução. Atualize os campos de alocação do dispositivo. O histórico de alocação passa a mostrar quem estava com ele e quando voltou.
2. Ligue-o e conecte-o ao Wi-Fi. Confirme que ele aparece como visto recentemente no console. Uma limpeza pelo console só chega a um dispositivo online e ainda registrado. Se ele nunca aparecer, verifique primeiro o Wi-Fi e a bateria. Redefina-o localmente apenas se souber que ele recebeu sua lista de administradores FRP e, em seguida, desbloqueie-o com uma conta de administrador FRP, como na Etapa 6.
3. Guarde o que precisa ser mantido, conforme suas regras de retenção de dados.
4. Envie uma limpeza pelo console com a opção "remover FRP" ativada.
5. Acompanhe a reinicialização. O dispositivo deve chegar a um assistente de configuração limpo, sem pedido de verificação de conta.
6. Decida o próximo passo:Reimplantação: deixe-o se registrar novamente por zero-touch, Knox Mobile Enrollment ou QR code.
7. Revenda, reciclagem ou devolução ao leasing: remova-o do seu portal zero-touch ou Knox Mobile Enrollment para que ele não se registre na sua empresa com o próximo dono.
8. Etiquete o dispositivo como "FRP removido, verificado", com a data e suas iniciais.

Aviso: Não restaure dispositivos devolvidos para os padrões de fábrica pelo modo de recuperação ou combinações de botões na base. Essa é uma restauração não confiável, portanto o FRP será aplicado. Sempre realize a limpeza pelo console enquanto o dispositivo ainda estiver registrado.

Para métodos gerais de redefinição e o que cada um apaga, veja nosso guia sobre como redefinir dispositivos Android para os padrões de fábrica no blog da Nomid.

Resultado esperado: Todo dispositivo sai da TI registrado novamente para um novo funcionário ou limpo e desvinculado dos seus portais de registro. Nenhum deles sai bloqueado.

Etapa 6: Recuperar um dispositivo que já está bloqueado

Depois que um dispositivo é restaurado, ele deixa de estar registrado. Nenhum comando do console consegue alcançá-lo. Siga estas opções em ordem.

1. Tente as contas de administrador de FRP. Se o dispositivo recebeu uma política com frpAdminEmails antes de ser restaurado, fazer login com uma dessas contas deverá desbloqueá-lo.
2. Tente contas de administrador de FRP anteriores. Se você alterou a lista recentemente, o dispositivo ainda pode conter a anterior. Tente as contas que estavam listadas quando o dispositivo foi visto pela última vez.
3. Encontre o usuário anterior. Se nenhuma lista de administradores FRP chegou ao dispositivo e o usuário anterior adicionou uma conta Google a ele, essa conta pode desbloqueá-lo. Consulte o histórico de alocação, peça a essa pessoa que venha até a TI e entre na conta, e não peça que ela envie a senha.
4. Considere alterações recentes de senha. A ajuda de contas do Google recomenda aguardar um tempo após a redefinição de uma senha antes de usar a conta em um dispositivo restaurado. Consulte as orientações atuais do Google e tente novamente.
5. Entre em contato com o revendedor, a operadora ou o fabricante. Tenha em mãos o comprovante de compra, o número de série e o IMEI. Alguns oferecem um processo de desbloqueio depois que a propriedade é comprovada, e cada um tem suas próprias regras.
6. Se nenhuma dessas opções funcionar, registre o dispositivo como irrecuperável, retire-o da lista de ativos e use o incidente para corrigir a falha no seu processo.

Aviso: Não use ferramentas de bypass de FRP, downloads ou "serviços de desbloqueio". Eles geralmente contêm malware, podem violar seus contratos com o fabricante e enfraquecem a mesma proteção na qual você confia quando um dispositivo é roubado.

Resultado esperado: Você desbloqueou o dispositivo por um meio legítimo ou o documentou e retirou de circulação, sabendo exatamente qual etapa do runbook deixou de ser seguida.

Perguntas frequentes e resolução de problemas

Removemos o FRP, mas o dispositivo ainda pediu uma conta. Por quê?
Na maioria dos casos, o dispositivo foi restaurado localmente de novo após a limpeza pelo console, ou o comando de limpeza foi enviado sem ativar a opção de remoção. Verifique também se o comando de limpeza com "remover FRP" realmente chegou ao dispositivo. Se ele estivesse offline, o comando pode nunca ter sido recebido antes que alguém o restaurasse manualmente.

O dispositivo solicita uma conta, mas nossos administradores de FRP não funcionam.
O dispositivo provavelmente nunca recebeu a política com esses administradores ou contém uma lista antiga. Compare a data em que o dispositivo foi visto pela última vez com a data em que você alterou a política. Confirme também se a conta de administrador não está suspensa e se você tem acesso ao segundo fator de autenticação.

O zero-touch ou o Knox Mobile Enrollment conseguem ignorar o FRP?
Não. Esses são métodos de registro, não métodos de desbloqueio. Planeje considerando que o FRP deve ser atendido antes que o novo registro possa ocorrer.

Um funcionário restaurou o dispositivo a partir das Configurações. Ele está bloqueado?
Geralmente não, pois ele precisou informar o bloqueio de tela para iniciar a restauração. No entanto, o comportamento varia entre versões do Android e fabricantes; portanto, confirme em seus próprios modelos.

Posso remover o FRP remotamente em um dispositivo que já está bloqueado?
Não. Após a restauração, o dispositivo não está mais registrado, logo nenhum comando do console o alcança. Siga a ordem de recuperação da Etapa 6.

Devemos deixar a lista de administradores FRP vazia para evitar bloqueios?
Isso troca um problema de processo por um problema de segurança. O Google documenta que um dispositivo sem administradores FRP listados não oferece proteção contra redefinição de fábrica, então um dispositivo roubado poderia simplesmente ser redefinido e reutilizado. Mantenha os administradores e corrija o procedimento.

Principais conclusões e próximos passos

• Tenha o controle das chaves. Defina duas contas de administrador de FRP de propriedade da TI por política e teste-as em hardware real.
• Limpezas defensivas mantêm o FRP. Isso inclui limpezas por perda, roubo, não devolução e conformidade.
• Limpezas administrativas removem o FRP, e apenas quando o dispositivo estiver na sua bancada.
• Nunca restaure localmente na base. Sempre limpe a partir do console enquanto o dispositivo ainda estiver registrado.
• Recupere legitimamente por meio de administradores de FRP, do usuário anterior ou do fornecedor, e nunca através de ferramentas de bypass.

Como próximo passo, execute as Etapas 2 e 5 de ponta a ponta em um dispositivo sobressalente esta semana e adicione o runbook de dispositivos devolvidos aos procedimentos padrão da sua base.

Se você gerencia sua frota com o Nomid MDM, os três controles usados neste guia já estão no console. Para ensaiar o procedimento antes, o plano gratuito cobre até 10 dispositivos sem limite de tempo, o suficiente para o seu hardware reserva antes da implantação.