Câu hỏi: OSP201 - Chương 5: Bảo vệ hệ thống tệp

Đáp án đúng: "ext2". Phân vùng /boot chứa bộ nạp khởi động, nhân và các tệp khởi động cần đọc khi máy bật, ít thay đổi thường xuyên và thường cần tương thích rộng với firmware. ext2 không ghi nhật ký nên có cấu trúc đơn giản, phù hợp với tiêu chí nhẹ và ít ghi của câu hỏi; đây là lựa chọn theo ngữ cảnh đề, không phải khuyến nghị chung cho mọi hệ thống hiện đại. "ext4" có journaling và nhiều tính năng hữu ích cho phân vùng dữ liệu nhưng phức tạp hơn nhu cầu được nêu. "vfat" thường cần khi chia sẻ tệp khởi động với firmware hoặc hệ điều hành khác, không phải vì nó tối ưu cho phân vùng nhỏ ít ghi. "xfs" phù hợp hệ thống tệp lớn và tải cao, nên không phải lựa chọn đặc trưng cho /boot theo tiêu chí này.

Đáp án đúng: "To provide an additional layer of permissions". ACL (Access Control List) mở rộng quyền Unix cơ bản, cho phép chỉ định quyền riêng cho người dùng hoặc nhóm bổ sung trên tệp và thư mục. "To disable the Linux firewall" không liên quan; ACL không cấu hình lọc gói. "To manage email services" thuộc cấu hình MTA hoặc dịch vụ thư. "To configure network time protocols" liên quan NTP và cấu hình mạng, không phải quyền truy cập đối tượng filesystem.

Đáp án đúng: "Speedier recovery in case of problems". Hệ thống tệp journaling ghi lại thay đổi dự kiến trong nhật ký trước hoặc trong khi cập nhật cấu trúc dữ liệu, nhờ đó sau sự cố mất điện hoặc treo máy có thể phục hồi trạng thái nhất quán nhanh hơn so với phải rà soát toàn bộ hệ thống tệp. Journaling không thay thế sao lưu và không bảo đảm mọi dữ liệu người dùng được khôi phục. "Increased encryption strength" thuộc cơ chế mã hóa, không phải nhật ký hệ thống tệp. "Reduced need for user permissions" không liên quan đến cách phục hồi metadata; quyền truy cập vẫn phải được cấu hình. "Automatic user authentication" thuộc hệ thống xác thực, không phải chức năng journaling.

Đáp án đúng: "chmod g+s". Thành phần g+s của chmod đặt bit set-group-ID (SGID) cho nhóm trên thư mục; tệp mới bên trong thường kế thừa nhóm thư mục, thuận tiện cho cộng tác. "chmod u+s" đặt SUID, thường làm chương trình chạy với UID chủ sở hữu, không đặt SGID cho nhóm. "chmod +x" thêm quyền thực thi mà không bật bit set-group-ID. "chmod 644" đặt quyền đọc/ghi thông thường và loại bỏ các bit đặc biệt.

Đáp án đúng: "chmod 640 example.txt". Trong hệ bát phân, 6 biểu thị đọc và ghi cho chủ sở hữu, 4 biểu thị chỉ đọc cho nhóm, còn 0 không cấp quyền cho người khác; vì vậy giá trị 640 khớp yêu cầu. "chmod 750 example.txt" cấp quyền thực thi cho chủ và nhóm, đồng thời cho người khác không quyền, nên vượt quá quyền đọc/ghi cần thiết và cấp quyền nhóm quá rộng. "chmod 440 example.txt" chỉ cho chủ đọc, không cho chủ ghi. "chmod 654 example.txt" cấp quyền ghi và thực thi cho nhóm, đồng thời cấp quyền đọc cho người khác, trái với yêu cầu giới hạn quyền.

Đáp án đúng: "It can lead to data loss if passwords are forgotten". Mã hóa bảo vệ dữ liệu khi thiết bị hoặc ổ đĩa bị truy cập trái phép, nhưng dữ liệu có thể không khôi phục được nếu mất mật khẩu hoặc khóa giải mã; cần sao lưu khóa an toàn. "It can complicate the resizing of filesystems later on" cũng có thể đúng với một số cách bố trí mã hóa, nhưng phụ thuộc công nghệ và không phải nhược điểm phổ quát; đây là điểm tranh luận cần nêu rõ. "It significantly reduces system performance" nói quá mức vì tác động tùy phần cứng và tải; "It is incompatible with most Linux distributions" sai vì nhiều bản phân phối hỗ trợ mã hóa.

Đáp án đúng: "To provide detailed access controls". Access Control Lists (ACL) mở rộng quyền Unix cơ bản bằng cách cho phép gán quyền cụ thể cho thêm người dùng hoặc nhóm trên tệp và thư mục. "To format filesystems" là tác vụ của công cụ tạo filesystem, chẳng hạn mkfs. "To encrypt file contents" cần công cụ hoặc lớp mã hóa, ACL chỉ quyết định ai được truy cập chứ không biến nội dung thành bản mã. "To manage network configurations" thuộc công cụ mạng; ACL ở đây là danh sách quyền trên đối tượng hệ thống tệp.

Đáp án đúng: "To increase security by isolating sensitive data". Tách /home, /var và /tmp thành các phân vùng riêng có thể giới hạn tác động khi một khu vực đầy dung lượng hoặc bị ghi quá mức; các tùy chọn mount riêng cũng cho phép áp dụng hạn chế phù hợp. Đây là lợi ích về cô lập và quản trị, nhưng cần lập kế hoạch vì phân vùng sai kích thước có thể gây cạn chỗ. "To enhance the user interface" không liên quan đến bố trí hệ thống tệp. "To improve the speed of the Linux kernel" không phải tác động trực tiếp của việc chia phân vùng. "To reduce the overall system memory usage" nhầm dung lượng đĩa với bộ nhớ RAM; phân vùng riêng không làm giảm mức RAM cần dùng.

Đáp án đúng: "MAC enforces centralized. system-wide policies, while DAC allows user-defined permissions.". Mandatory Access Control (MAC) áp chính sách do hệ thống quản lý, người dùng thông thường không thể tự nới quyền; Discretionary Access Control (DAC) cho phép chủ sở hữu quyết định quyền truy cập như quyền đọc, ghi, thực thi. "DAC is stricter and enforces system-wide rules, while MAC is user-defined." đảo ngược hai khái niệm. "DAC uses kernel modules, MAC uses user space." nhầm cơ chế chính sách với vị trí triển khai, vì MAC thường được thực thi qua kernel. "MAC is less secure and should be disabled in most systems." là kết luận sai; MAC bổ sung kiểm soát và việc bật hay cấu hình phụ thuộc yêu cầu hệ thống.

Đáp án đúng: "User-defined read, write, and execute permissions". Discretionary Access Control (DAC, kiểm soát truy cập tùy ý) cho phép chủ sở hữu tài nguyên hoặc người có quyền thích hợp đặt quyền đọc, ghi, thực thi cho người dùng và nhóm. Đây là mô hình quyền Unix cơ bản, khác chính sách bắt buộc do hệ thống áp đặt. "SELinux" là cơ chế Mandatory Access Control dựa trên nhãn và chính sách. "AppArmor" áp chính sách giới hạn chương trình qua hồ sơ, không phải quyền tùy ý do chủ sở hữu tệp quyết định. "PolicyKit" điều khiển quyền thực hiện các hành động đặc quyền của ứng dụng và dịch vụ, không phải ví dụ trực tiếp về quyền DAC trên tệp.

Đáp án đúng: "/boot/". Thư mục /boot chứa kernel, initramfs và dữ liệu bootloader; sau khi cài đặt hoặc cập nhật, hệ thống thường chỉ đọc các tệp này nên có thể phù hợp với mount chỉ đọc khi quy trình quản trị cho phép. "/home/" thường xuyên nhận thay đổi từ hồ sơ và dữ liệu người dùng. "/mnt/" là điểm gắn tạm, không đại diện cho dữ liệu cố định phù hợp để khóa chỉ đọc. "/srv/" chứa dữ liệu dịch vụ có thể cần cập nhật khi nội dung được triển khai.

Đáp án đúng: ".gnupg". GnuPG lưu cấu hình, khóa bí mật và khóa công khai của người dùng trong thư mục ẩn ~/.gnupg; khóa riêng cần được bảo vệ bằng quyền truy cập hạn chế. ".gpg" thường là phần mở rộng tệp được mã hóa hoặc chữ ký, không phải thư mục keyring mặc định. ".gpgkeys" không phải tên thư mục chuẩn GnuPG. ".keys" là tên chung, có thể do ứng dụng tự chọn nhưng không phải vị trí mặc định được hỏi.

Đáp án đúng: "A reference to a file name in the filesystem". Symlink, hay symbolic link, là một tệp đặc biệt chứa tham chiếu tới đường dẫn của tệp hoặc thư mục khác; khi truy cập liên kết, hệ thống theo tham chiếu đó. "Another name for an Internet hyperlink" mô tả liên kết web trong trình duyệt, không phải liên kết biểu tượng trong filesystem. "A service dependency" là quan hệ phụ thuộc giữa dịch vụ, thường được khai báo trong hệ thống init. "An application dependency" là thư viện hoặc gói mà phần mềm cần để chạy, không phải một đường dẫn liên kết trong filesystem.

Đáp án đúng: "LUKS with dm-Crypt". dm-crypt cung cấp lớp mã hóa thiết bị khối trong kernel, còn LUKS định dạng siêu dữ liệu và quản lý các khóa để mã hóa toàn bộ phân vùng hoặc ổ đĩa. "EncFS" mã hóa nội dung theo tệp/thư mục trong không gian người dùng, không phải mã hóa toàn đĩa bằng lớp kernel. "TrueCrypt" là phần mềm mã hóa ổ đĩa cũ, không phải phương án dm-crypt/LUKS tích hợp kernel được mô tả. "AES" là thuật toán mật mã, không tự xác định cách mã hóa và quản lý khóa cho toàn ổ đĩa.

Đáp án đúng: "SGID". Trên thư mục, bit SGID khiến tệp và thư mục con mới thường kế thừa nhóm sở hữu của thư mục cha, hữu ích cho thư mục cộng tác của một nhóm. Căn cứ đã chốt lưu ý câu mô tả thiếu điều kiện: SGID tự nó không giới hạn người có thể truy cập; cần đặt quyền đọc, ghi và thực thi phù hợp để chỉ nhóm được phép. "SUID" chủ yếu làm chương trình chạy với danh tính chủ sở hữu tệp và không thiết lập kế thừa nhóm trên thư mục theo ý này. "Sticker bit" là tên in trong lựa chọn, nhưng sticky bit thường hạn chế ai được xóa hoặc đổi tên mục trong thư mục dùng chung, không giới hạn quyền đọc/ghi cho nhóm. "Executable bit" cho phép duyệt/thực thi tùy loại tệp nhưng không tạo kế thừa nhóm. "chmod" là lệnh đổi quyền, không phải bit đặc biệt.

Đáp án đúng: "/home/". Hạn ngạch đĩa (quota) thường được bật trên filesystem lưu thư mục người dùng, thường là /home, để giới hạn dung lượng hoặc số inode theo người dùng/nhóm. Quota được cấu hình ở cấp filesystem, nên thư mục chỉ là ví dụ điển hình chứ không phải điều kiện bắt buộc. "/etc/" chứa cấu hình hệ thống và thường không phải vùng dữ liệu người dùng để áp hạn ngạch. "/opt/" dành cho phần mềm bổ sung. "/usr/" chứa chương trình và dữ liệu dùng chung của hệ thống, không phải vị trí phổ biến để giới hạn dữ liệu cá nhân.

Đáp án đúng: "SGID". Trên thư mục, bit SGID khiến tệp và thư mục con mới thường kế thừa nhóm sở hữu của thư mục cha, hữu ích cho thư mục cộng tác của một nhóm. Căn cứ đã chốt lưu ý câu mô tả thiếu điều kiện: SGID tự nó không giới hạn người có thể truy cập; cần đặt quyền đọc, ghi và thực thi phù hợp để chỉ nhóm được phép. "SUID" chủ yếu làm chương trình chạy với danh tính chủ sở hữu tệp và không thiết lập kế thừa nhóm trên thư mục theo ý này. "Sticker bit" là tên in trong lựa chọn, nhưng sticky bit thường hạn chế ai được xóa hoặc đổi tên mục trong thư mục dùng chung, không giới hạn quyền đọc/ghi cho nhóm. "Executable bit" cho phép duyệt/thực thi tùy loại tệp nhưng không tạo kế thừa nhóm. "chmod" là lệnh đổi quyền, không phải bit đặc biệt.

Đáp án đúng: "/home/". Hạn ngạch đĩa (quota) thường được bật trên filesystem lưu thư mục người dùng, thường là /home, để giới hạn dung lượng hoặc số inode theo người dùng/nhóm. Quota được cấu hình ở cấp filesystem, nên thư mục chỉ là ví dụ điển hình chứ không phải điều kiện bắt buộc. "/etc/" chứa cấu hình hệ thống và thường không phải vùng dữ liệu người dùng để áp hạn ngạch. "/opt/" dành cho phần mềm bổ sung. "/usr/" chứa chương trình và dữ liệu dùng chung của hệ thống, không phải vị trí phổ biến để giới hạn dữ liệu cá nhân.

Đáp án đúng: "chmod". Lệnh chmod thay đổi mode bit đọc, ghi và thực thi trên tệp hoặc thư mục; quyền có thể biểu diễn bằng số bát phân hoặc ký hiệu. "usermod" sửa thuộc tính tài khoản người dùng. "chown" đổi chủ sở hữu tệp, không đặt bộ quyền. "chgrp" đổi nhóm sở hữu; dù cả chủ và nhóm ảnh hưởng truy cập, lệnh này không thay quyền đọc/ghi/thực thi. Sau khi cấp quyền phù hợp, cần kiểm tra chủ sở hữu, nhóm và ACL để bảo đảm quyền hiệu lực đúng với mục tiêu bảo vệ dữ liệu.

Đáp án đúng: "chmod". Lệnh chmod thay đổi mode bit đọc, ghi và thực thi trên tệp hoặc thư mục; quyền có thể biểu diễn bằng số bát phân hoặc ký hiệu. "usermod" sửa thuộc tính tài khoản người dùng. "chown" đổi chủ sở hữu tệp, không đặt bộ quyền. "chgrp" đổi nhóm sở hữu; dù cả chủ và nhóm ảnh hưởng truy cập, lệnh này không thay quyền đọc/ghi/thực thi. Sau khi cấp quyền phù hợp, cần kiểm tra chủ sở hữu, nhóm và ACL để bảo đảm quyền hiệu lực đúng với mục tiêu bảo vệ dữ liệu.