Câu hỏi: OSP201 - Chương 4: Tài khoản, nhóm và đặc quyền

Đáp án đúng: "They allow permissions to be managed collectively rather than individually.". Tài khoản nhóm (group account) gom người dùng có chung nhu cầu truy cập, nhờ đó quản trị viên cấp quyền đọc, ghi hoặc thực thi một lần cho nhóm thay vì sửa từng tài khoản. "They allow only administrators to manage security settings." sai vì nhóm không chỉ dành cho quản trị viên; thành viên được phân vào nhóm theo vai trò. "They are used only for backup purposes." thu hẹp sai chức năng; nhóm chủ yếu phục vụ quản lý quyền và có thể dùng ở nhiều tác vụ khác. "They disable login attempts from unknown locations." mô tả kiểm soát đăng nhập theo vị trí, không phải chức năng của nhóm Linux.

Đáp án đúng: "/etc/nsswitch.conf". Tệp này quy định thứ tự và nguồn tra cứu cho các cơ sở dữ liệu hệ thống như users, groups và hosts, chẳng hạn local files hay dịch vụ thư mục. Nó phối hợp với các cơ chế xác thực nhưng không tự thực hiện kiểm tra mật khẩu. "/etc/shadow" lưu hash mật khẩu và thông tin tuổi thọ mật khẩu với quyền truy cập hạn chế. "/etc/passwd" chứa thông tin tài khoản cơ bản như UID, thư mục nhà và shell đăng nhập. "/etc/init.d" chứa script dịch vụ kiểu SysV, không định nghĩa nguồn tra cứu danh tính.

Đáp án đúng: "LDAP". LDAP có thể bảo vệ kết nối thư mục bằng TLS, thường qua StartTLS hoặc LDAPS, để giảm nguy cơ nghe lén thông tin xác thực trên mạng. "NIS" là dịch vụ tra cứu thông tin Unix cũ, vốn không cung cấp bảo vệ truyền tải tương đương nếu không đặt trong một kênh mã hóa khác. "PAM" là framework gắn ứng dụng với các module xác thực; PAM không phải dịch vụ thư mục hay giao thức mã hóa đường truyền. "Samba" cung cấp dịch vụ SMB/CIFS, nhưng phương án này không trả lời tên dịch vụ xác thực thư mục được mô tả.

Đáp án đúng: "/etc/group". Tệp /etc/group liệt kê các nhóm cục bộ và danh sách thành viên bổ sung; thông tin nhóm chính cũng liên kết với GID trong tài khoản. "/etc/passwd" lưu thông tin tài khoản và UID/GID chính, nhưng không phải danh sách thành viên từng nhóm. "/etc/shadow" chứa hash mật khẩu và thuộc tính tuổi thọ mật khẩu. "/etc/gshadow" lưu thông tin nhạy cảm của nhóm, như mật khẩu nhóm và quản trị viên nhóm, nhưng danh sách nhóm/thành viên thông thường xem ở /etc/group.

Đáp án đúng: "%users ALL\=/sbin/fdisk /dev/sda, /usr/bin/yum". Cú pháp sudoers giới hạn nhóm users bằng tiền tố %, cho phép trên mọi máy (ALL) chạy đúng fdisk trên /dev/sda và yum theo đường dẫn thực thi. Đường dẫn thiết bị phải là /dev/sda, không phải thư mục mount /mnt/sda. "%users ALL\=/sbin/fdisk /mnt/sda, /bin/yum" đưa nhầm đường dẫn mount và nhầm vị trí yum; "%users ALL\=/tmp/fdisk /dev/sda, /usr/bin/yum" trỏ tới chương trình không chuẩn trong /tmp; "%users ALL\=/tmp/fdisk /mnt/sda, /bin/yum" sai cả đường dẫn fdisk lẫn thiết bị.

Đáp án đúng: "PPP". PPP là giao thức điểm-điểm để vận chuyển lưu lượng mạng, không phải phương thức xác thực như PAP, CHAP hay EAP. RADIUS thường nhận yêu cầu xác thực dùng các phương thức đó. "CHAP" là thử thách-phản hồi dùng chung với máy chủ RADIUS trong nhiều cấu hình truy cập từ xa. "PAP" có thể được chuyển tiếp tới RADIUS để xác thực, dù bản thân PAP yếu hơn vì gửi thông tin mật khẩu theo cách kém an toàn. "EAP" cũng thường được vận chuyển qua RADIUS trong mạng truy cập có kiểm soát. PPP có thể dùng RADIUS để ủy quyền xác thực, nên câu hỏi dùng từ “configured with” chưa thật chặt.

Đáp án đúng: "To manage authentication for system entry points". PAM là khung mô-đun cho phép các dịch vụ Linux dùng chính sách xác thực và kiểm soát phiên truy cập theo cấu hình; các điểm vào như đăng nhập, sudo hoặc dịch vụ mạng có thể gọi cùng cơ chế mà không phải tự cài toàn bộ quy trình xác thực. "To manage kernel modules" thuộc quản lý mô-đun nhân, thường dùng công cụ như modprobe, không phải PAM. "To configure network settings" là nhiệm vụ của trình quản lý mạng và tệp cấu hình mạng. "To automate system updates" thuộc trình quản lý gói và lịch cập nhật; PAM có thể kiểm soát ai được phép thao tác nhưng không tự cập nhật phần mềm.

Đáp án đúng: "The primary UID for the user is the same as the primary GID for the user". Trong mô hình user private group, hệ thống thường tạo nhóm riêng cho mỗi tài khoản và đặt GID chính bằng UID của tài khoản đó, giúp tệp mới có nhóm mặc định riêng. "There are no private groups in Linux" sai vì nhiều bản phân phối hỗ trợ cách tổ chức này. "User information in the group is private" nhầm tên private group với tính bí mật dữ liệu; nhóm riêng vẫn là cấu trúc phân quyền. "Users are members of the same private group" trái với ý tưởng mỗi người dùng có nhóm riêng. "All users only have GID, no UID" sai vì mỗi tài khoản có UID và thường có GID chính.

Đáp án đúng gồm hai ý: "To store password hashes with aging information" và "To ensure secure password policies". Shadow password suite giữ hash mật khẩu cùng thông tin tuổi thọ và chính sách đổi mật khẩu trong các tệp được hạn chế quyền truy cập. "To manage user group memberships" thuộc cơ sở dữ liệu nhóm như /etc/group. "To limit access to system files" không phải mục đích trực tiếp; quyền đọc hạn chế trên thông tin xác thực không đặt quyền cho toàn bộ tệp hệ thống. "To control network authentication" thuộc các dịch vụ xác thực mạng; shadow chủ yếu hỗ trợ tài khoản cục bộ.

Đáp án đúng: "2". Theo cách đếm hẹp được dùng ở đây, cơ sở xác thực cục bộ gồm passwd với thông tin tài khoản và shadow với các giá trị băm mật khẩu cùng chính sách hết hạn; group và gshadow chủ yếu quản lý nhóm và thành viên. Câu không xác định phạm vi của “major user authentication databases”, nên cách đếm rộng hơn có thể đưa các tệp nhóm vào danh sách, nhưng căn cứ đã chốt chỉ tính hai cơ sở xác thực. "3" cộng thêm group dù tệp này quản lý nhóm; "4" còn cộng gshadow, cũng dành cho dữ liệu quản trị nhóm; "5" không nêu cơ sở thứ năm nào; "Other answer" không đưa ra một con số hay cách phân loại cụ thể.

Đáp án đúng: "True". PAM là Pluggable Authentication Modules, một lớp module cho phép các ứng dụng Linux dùng chính sách xác thực linh hoạt như kiểm tra mật khẩu, tài khoản, phiên làm việc hoặc khóa tài khoản. "False" không đúng vì phát biểu xác định đúng vai trò của PAM trong chuỗi xác thực. PAM không phải một phương thức xác thực duy nhất; từng ứng dụng cấu hình các stack module phù hợp, nên chính sách có thể được thay đổi mà không cần viết lại ứng dụng.

Đáp án đúng: "Providing a standardized way to handle authentication and access control.". PAM cung cấp giao diện mô-đun để dịch vụ Linux gọi chính sách xác thực, kiểm tra tài khoản và quản lý phiên truy cập; quản trị viên có thể thay đổi quy tắc mà không viết lại từng ứng dụng. Điều này giúp thống nhất cách xử lý ở các điểm vào hệ thống. "Managing hardware devices and drivers." là vai trò của nhân và công cụ quản lý thiết bị. "Configuring the graphical user interface (GUI)." thuộc môi trường desktop và cấu hình giao diện, không phải PAM. "Optimizing system performance and resource utilization." là mục tiêu tinh chỉnh tài nguyên; PAM có thể kiểm soát quyền truy cập nhưng không tối ưu hiệu năng hệ thống.

Đáp án đúng: "To assign a unique group to each user". User private group scheme tạo một nhóm riêng làm nhóm chính cho từng tài khoản, giúp tệp mới có quyền nhóm an toàn và hạn chế chia sẻ ngoài ý muốn. "To share files with the local network" không phải mục đích của nhóm riêng; chia sẻ mạng cần cấu hình dịch vụ và quyền phù hợp. "To connect to wireless networks" thuộc cấu hình mạng không dây. "To monitor system logs" là nhiệm vụ của công cụ nhật ký và kiểm toán, không phải nhóm riêng người dùng.

Đáp án đúng: "To provide a flexible mechanism for authenticating users". PAM tách ứng dụng khỏi chi tiết xác thực bằng các module có thể kết hợp, cho phép chính sách thay đổi theo dịch vụ mà không sửa mã ứng dụng. "To provide a method for applying global system policies" quá rộng; PAM tập trung vào xác thực, quản lý tài khoản, phiên và mật khẩu theo stack cấu hình. "To encrypt user passwords" không phải chức năng chính; mật khẩu thường được băm và lưu bởi cơ chế hệ thống, còn PAM điều phối kiểm tra. "To manage user session scripts" có thể liên quan một module phiên cụ thể, nhưng không mô tả mục tiêu chính của PAM.

Đáp án đúng: "Allows execution with root privileges". Khi SUID được đặt trên một chương trình thực thi do root sở hữu, chương trình chạy với effective UID của chủ sở hữu trong lúc thực thi; điều này hữu ích cho tác vụ cần quyền cao nhưng phải được kiểm tra kỹ vì lỗi chương trình có thể bị lạm dụng. "Gives user ownership to the group" nhầm SUID với quyền nhóm; "Disables the executable" không phải ý nghĩa bit này; "Sets the sticky bit" là một bit quyền riêng có tác dụng khác, thường liên quan xóa tệp trong thư mục dùng chung.

Đáp án đúng: "To provide a flexible mechanism for authenticating users". PAM tách ứng dụng khỏi chi tiết xác thực bằng các module có thể kết hợp, cho phép chính sách thay đổi theo dịch vụ mà không sửa mã ứng dụng. "To provide a method for applying global system policies" quá rộng; PAM tập trung vào xác thực, quản lý tài khoản, phiên và mật khẩu theo stack cấu hình. "To encrypt user passwords" không phải chức năng chính; mật khẩu thường được băm và lưu bởi cơ chế hệ thống, còn PAM điều phối kiểm tra. "To manage user session scripts" có thể liên quan một module phiên cụ thể, nhưng không mô tả mục tiêu chính của PAM.

Đáp án đúng: "Allows execution with root privileges". Khi SUID được đặt trên một chương trình thực thi do root sở hữu, chương trình chạy với effective UID của chủ sở hữu trong lúc thực thi; điều này hữu ích cho tác vụ cần quyền cao nhưng phải được kiểm tra kỹ vì lỗi chương trình có thể bị lạm dụng. "Gives user ownership to the group" nhầm SUID với quyền nhóm; "Disables the executable" không phải ý nghĩa bit này; "Sets the sticky bit" là một bit quyền riêng có tác dụng khác, thường liên quan xóa tệp trong thư mục dùng chung.

Đáp án đúng gồm hai ý: "lpadmin" và "sys". Nhóm lpadmin là nhóm quen thuộc để quản trị máy in qua CUPS; cấu hình CUPS được viện dẫn cũng cho phép nhóm sys đảm nhiệm quyền quản trị máy in. Quyền thực tế do cấu hình chính sách của hệ thống quyết định, vì vậy không nên suy rộng tên nhóm thành quyền mặc định trên mọi bản phân phối. "admin" có thể được cấp quyền quản trị rộng hoặc được ánh xạ tới quyền in trong một số cấu hình, nhưng không phải nhóm được chọn theo cấu hình đang xét. "adm" thường cho phép đọc một số nhật ký hệ thống, không đồng nghĩa quyền quản trị máy in.

Đáp án đúng: "chage". chage quản lý thông tin lão hóa mật khẩu như ngày hết hạn, thời gian tối thiểu giữa các lần đổi và số ngày tối đa; thông tin này được phản ánh trong dữ liệu tài khoản, thường gồm /etc/shadow. Cần dùng quyền quản trị khi sửa tài khoản khác. "passwd" đổi mật khẩu và có thể mở khóa hoặc khóa tài khoản, nhưng không phải tiện ích chuyên chỉnh toàn bộ chính sách tuổi mật khẩu. "useradd" tạo tài khoản mới và thiết lập một số mặc định, không dùng làm công cụ thường ngày để sửa hết hạn của người dùng hiện có. "usermod" sửa nhiều thuộc tính tài khoản, nhưng lão hóa mật khẩu được quản lý trực tiếp bằng chage.