VIETBOOKS Trang 1 Mi quy tc then cht v an toàn và bo mt Ti trung tâm hi đáp v an toàn bo mt thông tin ca hãng Microsoft, hàng nghìn các bn báo cáo v an ninh h thng đã đc nghiên cu trong mi nm. Trong mt s trng hp, kt qu v mc đ an toàn ca h thng xut phát t li trong sn phm. iu này có ngha là s có mt bn sa li phát trin ngay sau đó đ khc phc li va tìm đc. Trong mt s trng hp, các vn đ đc báo cáo là kt qu đn gin do li ca ai đó to ra trong quá trình s dng sn phm. Nhng li có rt nhiu trng hp mà không ri vào hai trng hp trên. ó chính là các vn đ an toàn bo mt thông tin thc s, nhng các vn đ này li không do các thiu sót t sn phm. Theo nm tháng, mt danh sách v nhng vn đ nh vy đã đc phát trin gi là “Mi quy tc then cht v an toàn và bo mt”. ng gi h thng ca bn hot đng trong khi ch đi mt phiên bn sa li mi, mà hãy bo v bn t các vn đ mà chúng tôi đa ra di đây. Các li này không th do Microsoft – hay bt kì các nhà sn xut phn mm nào có th sa đc, bi vì chúng đc to ra do chính cách hot đng ca các máy tính. Nhng cng đng đánh mt ht hi vng - điu này ph thuc vào chính bn thân bn vi các li này, và nu bn gi chúng trong đu mình, bn có th ci thin mt cách đáng k các h thng bo mt ca bn. Lut #1 : Nu mt ngi nào đó có th thuyt phc bn chy chng trình ca anh ta trên máy tính ca bn, Nó s không còn là máy tính ca bn na. Nó chính là mt trng hp đáng tic ca h thng máy tính : khi mt chng trình máy tính chy, nó s thc hin phn vic đã đc lp trình, thm chí nu phn vic đã đc lp trình gây nguy him cho h thng máy tính. Khi bn la chn mt chng trình, chính bn đang quyt đnh bt ch đ điu khin máy tính cho chng trình đó. Khi mt chng trình chy, nó có th làm bt kì th gì, trên c nhng công vic mà bn có th làm đi vi h thng. Nó có th điu khin các phím bm ca bn, nhn ly thông tin và gi chúng ti mt website. Nó có th m mi tài liu trên h thng, và thay đi chúng vi t “s” tr thành “s không” trong toàn b chúng. Nó cng có th gi email khim nhã ti các ngi bn ca bn hay có th cài đt mt chng trình virus, to ra mt “ca ph” mà da vào nó, mt ngi khác có th điu khin máy tính ca bn t xa. ó chính là lí do ti sao tht là quan trng khi chy, thm chí download mt chng trình t mt tài nguyên không chng thc. “Tài nguyên”,  đây tôi mun nói ti ngi vit nó, không phi ngi đa nó cho bn. Có mt s phân tích thú v gia vic chy mt chng trình và vic n mt chic bánh sandwich. Nu mt ngi xa l đi ti bn và đa cho bn mt chic bánh sandwich, vy liu bn có n nó không? có l là không. Nu ngi bn thân nht ca bn đa bn chic bánh đó thì sao?, có l bn s n, có l bn s không, - điu này ph thuc vào liu cô y làm nó hay tìm thy nó trên ph. Vic la chn s dng mt chng trình cng ging nh bn vi chic bánh sandwich, điu này s giúp bn an toàn vi h thng máy tính ca bn. Lut #2: Nu mt ngi nào đó có th sa đi h điu hành trên máy tính ca bn, Nó s không còn là máy tính ca bn na. VIETBOOKS Trang 2 Nhìn chung, h điu hành ch là mt tp ca các con s 1 và con s 0, khi đc dch bi b vi x lí. Vic thay đi các con s 1 và s 0, nó s làm cho mt vài th khác đi. Ni nào các con s 1 và s 0 này đc lu? Ti sao, trên h thng máy, th t các con s luôn đi cùng vi mi th khác. Chúng ch là các file, và nu mt ngi nào khác có th s dng h thng và đc quyn thay đi các file đó, điu này có ngha là h thng ca bn đã cht.  hiu đc ti sao, hãy xem h điu hành nh các file gia các thành phn đc chng thc trên máy tính, và chúng chy, nhìn chung, vi mc đ u tiên cao. iu này có ngha là chúng có th làm hu ht mi th. Gia các th khác, chúng đc chng thc đ qun lý account ca user, điu khin vic thay đi password, và to ra các lut điu khin nhng ai thao tác trên máy tính. Nu mt ngi nào đó có th thay đi chúng, h thng s không còn hot đng đúng na và tuân theo thao tác ca anh ta, và s không có điu gì có th cn ni nhng gì anh ta can thip ti h thng. Anh ta có th n cp password, to cho anh ta có quyn qun tr h thng, hay thêm toàn b các chc nng mi ti h điu hành.  ngn cn kiu tn công này, phi đm bo chc chn rng các file h thng đc bo v tt nht. Lut #3: Nu mt ngi nào đó truy cp vt lí không hn ch ti máy tính ca bn. Nó s không còn là máy tính ca bn na. Mi th mà mt ngi nào đó có th làm đc nu anh ta có th đt cánh tay ca anh ta ti máy tính ca bn. • Anh ta có th qun lí đc h thng bo v an toàn, và làm hng máy tính ca bn vi công vic phá hoi ca anh ta. • Anh ta có th g b máy tính, loi nó ra khi tm kim soát ca bn, và gi nó vi các đòi hi ca mình • Anh ta có th khi đng máy tính t mt đa mm, và đnh dng (format) li đa cng ca bn. Nhng hãy đi, bn đnh nói, tôi đã cu hình BIOS trên máy tính ca tôi vi mt khu bo v khi tôi khi đng máy tính. iu này không có ngha gì, nu anh ta có th m đc trong trng hp này và vi đc ti máy tính ca bn, anh ta có th ch cn thay đi các con chip ca BIOS. (Thc t còn có nhiu các cách d dàng hn rt nhiu). • Anh ta có th loi b  cng t máy tính ca bn, cm nó vào máy tính ca anh ta và đc nó. • Anh ta có th to ra mt bn sao  cng ca bn, khi đó, anh ta s có đ thi gian đ thc hin mi ý đnh ca mình trc khi phá hoi h thng ca bn, nh c gng tìm kim mt khu, mà các chng trình hin ti đc làm theo thut toán có sn s t đng làm điu đó. Vic có đ thi gian s giúp anh ta thành công. • Anh ta có th gài thêm mt con chip nh vào bàn phím ca bn, lúc này anh ta có th điu khin đc mi th mà bn đánh vào, bao gm c mt khu ca bn. Luôn luôn đm bo chc chn rng mt máy tính đc bo v v mt vt cht, và nh rng giá tr ca h thng bao gm không ch giá tr ca bn thân phn cng, mà còn giá tr ca d liu trên nó, và giá tr truy cp ti mng ca bn mà ngi l đó có th truy cp vào. Mc ti thiu, các h thng thng mi quan trng nh các điu khin vùng (domain controller), các máy ch c s d liu (database server) và các máy ch dch v in hay máy ch chia se file nên đc khoá mà ch cho phép VIETBOOKS Trang 3 ngi có quyn qun tr bo trì và truy cp. Nhng bn có th xem xét vic bo v các h thng tt hn vi các phng thc bo v đc thêm vào cho mi h thng. Nu bn di chuyn vi mt máy tính cm tay, có l rng bn nên bo v nó. Các chc nng tng t mà to cho máy tính cm tay nh v kích c, nh v khi lng, cng to cho chúng d b đánh cp hn. Có rt nhiu cách bo v nh các loi khoá hay các chuông báo đng cho các loi máy cm tay, và mt vài mô hình giúp bn tháo ri  cng ra khi máy tính và có th mang trong ngi bn. bn cng có th s dng các chc nng nh mã hoá các file h thng đ làm gim nguy c nu mt ngi nào đó n cp đc máy tính. Nhng ch có cách chc chn rng d liu ca bn an toàn và  cng ca bn không b phá là bn nên gi máy tính cm tay lúc nào cng đi theo bn trong toàn b chuyn hành trình. Lut #4: Nu bn cho phép mt ngi nào đó đy các chng trình ti website ca bn. Nó s không còn là website ca bn. iu này da trên lut 1, trong lut này ngi nào đó dùng th đon tip cn vi nn nhân trong khi download chng trình có hi trên h thng ca anh ta và chy nó. Còn trong trng hp này, anh ta s đy chng trình có hi ti h thng và chy nó. Có rt nhiu ngi khi qun lý website quá u đãi vi khách hàng ca h, và cho phép các v khách có th đy các chng trình ti site và chy chúng. iu này có th dn ti h thng b xâm phm. Nu bn qun lý mt website, bn cn phi gii hn các v khách có th làm gì. Bn ch nên cho phép mt chng trình trên site ca bn chy nu bn thân bn vit ra, hay nu bn tin tng đc nhà phát trin mà vit chng trình đó. Nhng điu đó vn còn có th là không đ. Nu wesite ca bn là mt trong mt vài máy đc đánh đa ch trên mt máy ch chia s tài nguyên, bn cn phi ht sc cn thn. Nu mt ngi nào đó có th tho thun vi mt trong nhng site trên server, nó có th giúp anh ta m rng điu khin ca mình ti máy ch, mà anh y có th điu khin đc mi site trên đó, bao gm c bn. Nu bn đang trên mt máy ch đc dùng chung, điu quan trng là phi tìm ra chính sách qun tr ca server đó là gì. Lut #5: Các mt khu d nhn có th làm hng h thng bo mt mnh Mc đích ca vic đng nhp vào máy là đ bit bn là ai. Ban đu, h điu hành bit bn là ai, nó có th cho phép ban truy cp tài nguyên hay t chi. Nu mt ngi nào đó hc đc mt khu ca b, anh ta có th đng nhp nh bn. Trong thc t, nu anh ta thành công, h thng máy s coi anh ta là bn. Bt kì bn có th thao tác gì vi h thng, anh ta cng có th làm nh vy. Có l bn có các quyn trên mng hn anh ra và bn có th làm nhng thao tác mà anh ta bình thng anh ta không th thc hin. Hay có th anh ta ch mun làm mt điu gì đó có ác ý hay đe do bn. Trong bt kì trng hp nào, tt nht nên bo v mt khu ca bn. Luôn luôn s dng mt mt khu, và la chn mt mt khu phc tp. ng s dng tên con vt ca bn, tên ngày ci, hay tên ca đi bóng đa phng mà bn yêu thích. Và cng đng s dng t “password” làm mt khu. Ly mt khu nên to ra bng cách có các kí t vit ch hoa và ch thng đng không theo th t nào, nên s dng c các con s, du chm, . và to ra mt khu có đ dài va đ, và VIETBOOKS Trang 4 phi nh thay đi mt khu thng xuyên. Không đc vit mt khu ra giy, hay bt kì đâu cho d nh. Không đc nói cho bt kì ai v mt khu ca bn là gì. Cui cùng, xem xét s dng mt cái gì đó dài hn mt khu ca bn đ đnh danh bn thân bn vi h thng. Bn cng có th mun các sn phm hin đi nh nhn dng du vân tay, và quét tròng mt đ thay th mt khu truyn thng. Lut #6: Mt h thng ch có đ an toàn nh s tin tng nhà qun tr Mi máy tính phi có mt nhà qun tr : là mt ngi nào đó có th cài đt chng trình phn mm, cu hình h điu hành, thêm và qun lí các account ca user, thit lp các chính sách v bo mt, và điu khin các thao tác qun lí đc liên kt vi vic gi cho máy tính chy tt. Theo đnh ngha, các thao tác này đòi hi anh ta có toàn quyn vi h thng. iu này đt nhà qun tr trong mt v trí rt quan trng vi h thng. Vi mt nhà qun tr không đáng tin cy có th loi b hoàn toàn các quy ch v an toàn bo mt mà bn đã to ra. Anh ra có th thay đi quyn trên h thng, sa các chính sách bo mt ca h thng, cài đt các chng trình có hi vào trong h thng, thêm các user không có tht vào trong h thng hay làm bt kì điu gì vi h thng. Anh ta có th làm hng h thng o và bo v ca h điu hành, bi vì anh ta điu khin nó. Nu bn có mt nhà qun tr không my tin tng, bn có th không có ch đ bo mt. Khi thuê mt nhà qun tr h thng, hãy nhìn nhn v trí tin cy ca nhà qun tr, và ch mun nhng ngi mà có chng nhn v đ tin cy. Gi ti các đng nghip ca anh ta, hi h v công vic ca anh ta trc đó, đc bit vi bt c điu gì liên quan ti tính cht bo mt dù ch là vic nh. Nu thích hp cho t chc ca bn, bn có th xem xét tng bc vi anh ta khi bc chân vào môi trng bo mt ca công ty. K tip, to ra các bc giúp h thông trung thc hn na. S dng các bng đng nhp đ nm bt xem ai va  trong trng thái qun tr. a dng hoá các thao tác qun tr vi mc đ cao nht có th đc, nh mt là làm ti thiu hoá các tính nng mà mi nhà qun tr có đc. Cng nh vy, đng s dng account Admin, thay th vào đó đa cho mi nhà qun tr mt account riêng bit vi quyn qun tr, vy bn có th bit đc ai đang làm gì theo bng tin trình làm vic ca anh ta. Bn càng có nhiu nhà qun tr, bn gn nh càng có ít vn đ v bo mt. Lut #7: D liu đc mã hoá ch nh chìa khoá gii mã Gi nh bn vài đt mt h thng khoá ln nht, mnh nht, có đ bo mt tt nht trên th gii cho h thng ca bn, nhng bn phi đt mã đ m đc h thng đó. Nó s thc s là mnh nh th nào, điu này còn ph thuc vào chìa khoá cho h thng khoá đó. Nu chìa khoá quá gin đn vi h thng đc bo v, k trm có th tìm ra nó. Vy anh ta đã có mi th đ m cánh ca đó. D liu đc mã hoá cng ch an toàn nh chìa khoá đ gii mã nó. Rt nhiu h điu hành và các sn phm phn mm v thut toán mã hoá cho bn mt tu chn xem vic cha các chìa khoá mã trên máy tính nh th nào. Thun li ca phng pháp này đó chính là bn không phi thao tác khoá bng tay, nhng có đc điu này đng ngha vi vic bn phi tr mt s tin không nh cho sn VIETBOOKS Trang 5 phm mã hoá. Các chìa khoá thng làm ri rm và điu này thng rt tt vi h thng đc mã hoá. Nhng cui cùng, nu nh mã đó b phát hin, vic mã hoá này cng tr nên vô tác dng vì mt ngi nào đó vn có th vit ra các chng trình b khoá. Lut #8: Mt h thng quét virus ht hn thì cng còn tt hn không có h thng dit virus nào Các h thng quét virus làm vic đc so sánh nh h thng máy tính ca bn đi chi vi mt loi virus đc đng kí. Mi mt ch kí là kí t ca mt virus đc bit, và khi h thng quét tìm d liu trong mt file, email, hay bt kì đâu mà đin ch kí. nó thông báo rng đã tìm thy virus. Tuy nhiên, mt h thng quét virus có th ch quét cho các virus mà nó đã bit. iu này tht cn thit cho h thng ca bn đc cp nht thng xuyên h thng dit virus vào mi ngày. Phn mm bo v virus o cung cp mt cách nhn các ch kí cp nht min phí t website ca h. Thc t, rt nhiu phn mm dng này có dch v đy thêm các cp nht mi, mà h s gi các thông báo khi cp nht mt virus mi. Nhng k vit virus mi phát trin các k thut mi mà đòi hi các h thng quét virus thay đi cách làm vic ca chúng nh th nào. Lut #9: Tình trng du tên hoàn toàn không thc t Toàn b loài ngi nh hng ln nhau bao hàm vic trao đi d liu v mi mt. Nu mt ngi nào đó đa ra đ d liu, h có th mô t đc bn. Hãy ngh v toàn b thông tin mà mt ngi có th thu đc ch trong mt cuc hi thoi ngn vi bn. Ch mt cái lic mt, h có th phán đoán chiu cao, s cân, hay tui xp x mà bn có. Ging ca bn có th nói cho h bit rng bn t đâu đn, và có th thm chí nói cho h bit mt vài điu v gia đình bn, s thích ca bn, ni bn sng, và bn đang làm gì đ kim sng. iu đó không mt nhiu thi gian cho bt kì ai mun thu lm thông tin đ mô t bn là ai. Nu bn ao c đc giu mt hoàn toàn, cách tt nht là sng trong hang đng và tránh xa tip xúc vi loài ngi. iu tng t cng đúng vi Internet. Nu bn thm mt website, ngi ch có th, nu anh ta mun bit bn là ai. Cui cùng, các con s 1 và các con s 0 mà to ra các phiên làm vic web có th tìm đc cách ca chúng đ đn đc đúng ni cn đn, và đó là máy tính ca bn. Có rt nhiu cách bn có th che du các bit, và bn càng s dng chúng nhiu, các bit bn s dng phi đc che du nhiu hn. Trong trng hp, bn có th s dng đa ch mng đ che đa ch IP tht ca bn, s dng mt thuê bao Internet khác nhau cho các mc đích khác nhau, . Toàn b điu này có th làm cho bn khó b phát hin hn khi kim tra bn là ai, nhng không mt cách nào có th loi b hoàn toàn các thông tin v bn. Bn có bit chc chn ai điu hành dch v che du thông tin?, có th đó là mt ngi nào đó s hu website mà bn va duyt! hay website mà bn mi ghé thm hôm trc đ xut mail ti bn mt phiu thng 10$? Có l ngi ch các trang web này s hài lòng khi chia s thông tin ca bn vi mt website khác. Nu vy, trang web th hai li tip tc, . và s kim tra đc bn là ai. Vy điu đó có ngha là chính sách trên web chính là nguyên nhân làm mt tính bo mt? không phi hoàn toàn nh vy. Nó ch là phng cách tt nht đ bo v tính riêng t ca bn khi truy cp Internet, cng ging nh bo v bn trong cuc VIETBOOKS Trang 6 sng đi thng theo cách x s ca bn. Hãy đc các li mô t v tính riêng t trên các website khi bn ghé thm, và ch thc in mua bán vi mt ngi nào đó nu tho mãn các đòi hi ca bn. Nu bn lo lng v các cookies, hãy b chúng đi. Quan trng hn là nên tránh các website không có chng thc, điu này cng ging nh trong hu ht các thành ph đu có nhng con đng mà ta nên tránh đi, Internet cng làm nh vy. Nhng nu nh bn mun không có ai bit v bn, tt hn ht là tìm mt hang đng đ trú ng. Lut #10: Công ngh không phi là tt c Công ngh có th làm mt vài điu gây kinh ngc cho mi ngi. Nhng nm gn đây chúng ta đã đc nhìn thy s phát trin tt bc trong c phn cng cng nh phn mm nh: phn cng r đi và có nhiu tính nng mi, phn mm cng phát trin song song vi phn cng nh to các tiêu chun mi trong vn đ an toàn và bo mt v các ngành khoa hc khác liên quan ti máy tính. Nó m ra vin cnh mà công ngh có th to ra mt th gii mi vi tính nng an toàn bo mt tuyt đi, nu chúng ta làm vic chm ch. Tuy nhiên, điu này là không thc t. Bo mt hoàn ho đòi hi phi có công ngh hoàn ho tng ng, điu này không tn ti, và thc t cha bao gi tn ti. Vic phát trin phn mm là mt ngành khoa hc không chính xác, và toàn b các phn mm đu có li. Mt s có th do s dng quá ti dn đn không an toàn bo mt. Nhng thc t vi ngay c phn mm đc lp trình hoàn ho, nó cng vn không gii quyt đc toàn b các vn đ. Hu ht các các tn công bao gm nhiu cp, t mc này ti mc khác. Vic tng giá thành và đ khó trong công ngh v an toàn bo mt, và k xâm phm h thng s tìm cách phá hoi h thng này theo cách khác, nh v con ngi chng hn. Bn có th duy trì đc h thng bo mt ca bn tt hn na hay bn li tr thành nguyên nhân gây ra li cho h thng. Gii pháp là tha nhn hai đim mang tính bn cht. im th nht, an toàn bo mt bao gm c công ngh và chính sách, có ngha là, nó kt hp công ngh và h thng ca bn an toàn đn đâu vi các vn đ thuc bn cht. im th hai, an toàn bo mt là mt quá trình, không có kt thúc, nó không phi là mt vn đ mà có th gii quyt mt ln cho tt c; nó là mt tp các vn đ luôn tn ti và các bin pháp gia ngi mang tính bo v và ngi mang tính phá hoi. Chìa khoá đ đm bo rng bn có mt h thng bo mt tt đó ph thuc chính vào yu t con ngi và các chính sách ca . VIETBOOKS Trang 1 Mi quy tc then cht v an toàn và bo mt Ti trung tâm hi đáp v an toàn bo mt. tháng, mt danh sách v nhng vn đ nh vy đã đc phát trin gi là “Mi quy tc then cht v an toàn và bo mt”. ng gi h thng ca bn hot đng trong