Tìm hiểu Bảo mật Linux Nâng cao

Mã hóa đối xứng (Symmetric): Sử dụng cùng một khóa cho cả việc mã hóa và giải mã. Tốc độ thực hiện nhanh, hiệu quả cao với lượng dữ liệu lớn. Ví dụ: AES-256. Nhược điểm chính là việc phải truyền khóa an toàn cho người nhận.

Mã hóa bất đối xứng (Asymmetric): Sử dụng một cặp khóa (khóa công khai và khóa bí mật). Khóa công khai dùng để mã hóa, khóa bí mật dùng để giải mã. Cách này giải quyết được vấn đề truyền khóa nhưng tốc độ chậm hơn nhiều. Ví dụ: RSA-4096. GPG thường sử dụng kết hợp cả hai loại để đạt hiệu quả tốt nhất.

Hai loại khóa này phục vụ các mục đích khác nhau và bổ trợ cho nhau:

• Khóa công khai (Public key): Được chia sẻ rộng rãi. Người khác dùng nó để mã hóa dữ liệu gửi cho bạn.
• Khóa bí mật (Private key): Phải giữ bí mật tuyệt đối. Bạn dùng nó để giải mã dữ liệu nhận được và dùng để ký tên lên tài liệu (chữ ký số).

Tính bảo mật phụ thuộc hoàn toàn vào việc giữ bí mật khóa riêng — nếu bị lộ, bất kỳ ai cũng có thể đọc dữ liệu của bạn hoặc giả mạo chữ ký của bạn.

Lệnh để khởi tạo khối LUKS:

Lệnh này sẽ yêu cầu bạn nhập mật khẩu bảo vệ, ghi tiêu đề LUKS vào phân vùng và xóa sạch dữ liệu cũ. Sau đó, bạn cần mở nó bằng lệnh: cryptsetup luksOpen /dev/sdb1 ten_anh_xa

PAM (Pluggable Authentication Modules) là một kiến trúc xác thực dạng module trên Linux. Nó tách biệt hoàn toàn logic xác thực ra khỏi các ứng dụng cụ thể, cho phép quản trị viên thay đổi chính sách bảo mật mà không cần can thiệp vào mã nguồn ứng dụng.

Tầm quan trọng: PAM giúp tập trung hóa việc quản lý xác thực, hỗ trợ nhiều phương thức xác thực khác nhau (mật khẩu, sinh trắc học, token) và dễ dàng áp dụng các chính sách bảo mật nghiêm ngặt cho toàn bộ hệ thống từ một nơi duy nhất.

dcredit = -1 có nghĩa là bắt buộc phải có ít nhất 1 chữ số (digit) trong mật khẩu mới.

Giá trị âm (-N) quy định số lượng tối thiểu bắt buộc của loại ký tự đó. Giá trị dương (+N) là hệ thống tính điểm thưởng (phong cách cũ). Tương tự: ucredit = -1 (bắt buộc chữ hoa), lcredit = -1 (bắt buộc chữ thường), ocredit = -1 (bắt buộc ký tự đặc biệt).

Quy trình hoạt động: Mỗi lần người dùng đăng nhập sai, faillock sẽ ghi lại sự kiện đó. Khi số lần đăng nhập sai đạt đến mức deny=5 trong khoảng thời gian fail_interval (mặc định là 15 phút), tài khoản sẽ bị khóa hoàn toàn. Tài khoản sẽ tự động được mở khóa sau unlock_time=300 giây (tức là 5 phút). Quản trị viên có thể mở khóa ngay lập tức bằng lệnh: faillock --user ten_nguoi_dung --reset. Cơ chế này giúp bảo vệ hệ thống chống lại các cuộc tấn công dò mật khẩu (brute-force).

Tệp này dùng để thiết lập giới hạn tài nguyên hệ thống cho từng người dùng hoặc nhóm người dùng: nproc (số lượng tiến trình), nofile (số lượng tệp mở đồng thời), maxlogins (số phiên đăng nhập tối đa), fsize (kích thước tệp tối đa). 'Soft limit' là mức cảnh báo khi vượt qua, còn 'Hard limit' là mức giới hạn tuyệt đối không thể vượt quá. Các quy tắc này được áp dụng thông qua module pam_limits.

Lệnh rpm -Va (Verify all) thực hiện kiểm tra toàn bộ các tệp tin thuộc mọi gói phần mềm RPM đã cài đặt và báo cáo những tệp nào đã bị thay đổi so với trạng thái ban đầu. Dấu hiệu bảo mật cần quan tâm nhất là khi mã băm (MD5/SHA) của các tệp thực thi hệ thống thay đổi (ký hiệu số 5). Ví dụ, nếu các lệnh quan trọng như /usr/bin/passwd hay /bin/su bị thay đổi mã băm, đó có thể là dấu hiệu hệ thống đã bị cài đặt rootkit.

authselect là công cụ quản lý cấu hình xác thực trên các hệ điều hành họ RHEL/CentOS từ phiên bản 8 trở đi. Nó giúp tự động cập nhật và duy trì tính nhất quán cho các tệp tin PAM trong /etc/pam.d/, nsswitch.conf, và sssd.conf dựa trên các hồ sơ mẫu. Nó cũng cho phép dễ dàng kích hoạt các tính năng bảo mật bổ sung như with-faillock (khóa khi sai mật khẩu), with-mkhomedir (tự tạo thư mục cá nhân), hoặc with-sudo.

SHA-256: Có đầu ra 256-bit, hiện tại vẫn được coi là an toàn tuyệt đối, chưa có phương pháp tấn công hiệu quả nào để tạo ra xung đột mã băm (collision). Đây là lựa chọn hàng đầu cho việc kiểm tra tính toàn vẹn tệp, TLS, và chữ ký số hiện đại.

MD5: Chỉ có đầu ra 128-bit, hiện nay đã bị coi là không còn an toàn cho các mục đích bảo mật vì các nhà nghiên cứu đã tìm ra cách tạo ra hai tệp khác nhau nhưng có cùng một mã băm MD5 một cách dễ dàng.

Kết luận: Luôn ưu tiên dùng SHA-256 hoặc SHA-512 cho các yêu cầu bảo mật. MD5 chỉ nên dùng cho các kiểm tra lỗi truyền tin đơn giản khi yếu tố bảo mật không được đặt lên hàng đầu.