OSP201 - Chương 9: An ninh ứng dụng mạng

Đáp án đúng: "[realms] section". Trong krb5.conf, mục [realms] khai báo cấu hình cho từng Kerberos realm, bao gồm các máy chủ KDC và thông tin liên quan; tên realm được dùng để xác định phạm vi xác thực. Vì vậy mục này là nơi gắn cấu hình cụ thể với realm cần dùng. "[libdefaults] section" chứa mặc định chung như realm mặc định và tùy chọn thư viện, không phải danh sách định nghĩa cấu hình cho từng realm. "[domain_realm] section" ánh xạ tên miền DNS sang Kerberos realm, không định nghĩa máy chủ realm. "[logging] section" quy định đích và cách ghi nhật ký, không thiết lập tên realm.

Đáp án đúng: "FTPS". Câu hỏi hỏi giao thức không dùng để bảo vệ giao dịch thư điện tử. SMTPS bảo vệ việc gửi thư qua SMTP, còn POP3S và IMAPS bảo vệ việc truy xuất hộp thư bằng POP3 hoặc IMAP; FTPS là FTP được bảo vệ bằng TLS để truyền tệp, không phải giao thức thư. "SMTPS" dùng cho luồng gửi thư; "POP3S" và "IMAPS" dùng cho truy cập thư đến, nên chúng thuộc nhóm giao thức email được bảo vệ. Chữ S biểu thị lớp bảo mật trong các tên này.

Đáp án đúng: "/etc/services". Tệp này ánh xạ tên dịch vụ sang số cổng và giao thức vận chuyển để chương trình có thể tra cứu tên thay vì ghi nhớ số. Nó không mở hay lọc cổng, chỉ là cơ sở thông tin dịch vụ cục bộ. "/etc/network/interfaces" lưu cấu hình giao diện mạng trên một số bản phân phối; "/etc/iptables/rules.v4" chứa luật firewall IPv4 nếu hệ thống dùng định dạng đó; "/etc/firewall/rules" không phải tệp chuẩn ánh xạ tên dịch vụ và cổng.

Đáp án đúng: "TGT (Ticket Granting Ticket)". Trong Kerberos, máy khách nhận Ticket Granting Ticket sau xác thực ban đầu rồi dùng vé này xin vé truy cập dịch vụ mà không phải gửi lại mật khẩu cho từng dịch vụ. "LDAP (Lightweight Directory Access Protocol)" có thể cung cấp thư mục danh tính nhưng không phải thành phần vé cốt lõi của Kerberos; "DNS (Domain Name System)" phân giải tên mạng; "SSH (Secure Shell)" là giao thức truy cập từ xa, có thể dùng Kerberos nhưng không cấu thành hệ thống xác thực Kerberos.

Đáp án đúng: "NTP". Kerberos dựa vào dấu thời gian trong vé và giới hạn độ lệch giữa đồng hồ máy khách, máy chủ và KDC; đồng bộ thời gian qua NTP giúp xác thực không bị từ chối vì đồng hồ lệch. "ping" kiểm tra khả năng kết nối IP, không đồng bộ thời gian. "trace" dò đường đi mạng, không cung cấp thời gian đáng tin cậy. "ARP" ánh xạ địa chỉ IP và MAC trong mạng cục bộ. "All of the above" không đúng vì các giao thức này không thay thế dịch vụ đồng bộ thời gian.

Đáp án đúng: "For authentication across multiple systems". Kerberos cung cấp xác thực mạng dựa trên vé và bên thứ ba tin cậy, giúp người dùng chứng minh danh tính với nhiều dịch vụ mà không phải gửi mật khẩu qua từng kết nối. "To encrypt all user data on the network" sai vì Kerberos không tự mã hóa mọi lưu lượng ứng dụng; "To monitor network traffic" là chức năng giám sát; "As a replacement for SSH" sai vì SSH là giao thức truy cập an toàn riêng và có thể tích hợp xác thực Kerberos.

Đáp án đúng: "VNC". VNC là giao thức truy cập giao diện máy tính từ xa, không tham gia chuyển thư điện tử. "MUA" là ứng dụng người dùng dùng để soạn, gửi và đọc thư. "MRA" là tác nhân truy xuất thư, hỗ trợ người dùng lấy thư từ kho hoặc máy chủ. "MTA" là tác nhân chuyển thư giữa các máy chủ, thường dùng SMTP. Vì vậy ba thuật ngữ này gắn với quy trình thư còn VNC thuộc truy cập đồ họa từ xa. VNC dùng để điều khiển màn hình qua mạng, không gửi thư hoặc định tuyến thư giữa các máy chủ.

Đáp án đúng: "It is used to add and manage Kerberos principals and policies in the KDC database.". kadmin là công cụ quản trị cơ sở dữ liệu Kerberos, cho phép tạo/sửa principal và chính sách thông qua KDC. "It manages Kerberos ticket granting tickets (TGTs) for users." không chính xác vì KDC phát vé trong luồng xác thực; người dùng không dùng kadmin để quản lý TGT thường nhật. "It configures encryption algorithms for Kerberos tickets." thuật toán được quy định trong cấu hình Kerberos và chính sách mã hóa, không phải vai trò chính của kadmin. "It verifies the Kerberos configuration for proper communication with the realm." là kiểm tra kết nối/cấu hình, không phải tác vụ quản trị principal.

Đáp án đúng: "Systems must be synchronized to a single time source". Kerberos dùng dấu thời gian trong vé để giới hạn việc phát lại thông tin xác thực, vì vậy client, dịch vụ và KDC cần đồng hồ đồng bộ trong độ lệch cho phép. "Time zones must be disabled" không cần thiết; các hệ thống có thể dùng múi giờ khác nhau miễn thời gian tuyệt đối được cấu hình nhất quán. "System time must be set to GMT" không bắt buộc vì múi giờ hiển thị không quyết định đồng bộ UTC. "Systems must have their clocks set manually" dễ sai lệch theo thời gian; dịch vụ đồng bộ như NTP phù hợp hơn.

Đáp án đúng: "Systems must be synchronized to a single time source". Kerberos dùng dấu thời gian trong vé để giới hạn việc phát lại thông tin xác thực, vì vậy client, dịch vụ và KDC cần đồng hồ đồng bộ trong độ lệch cho phép. "Time zones must be disabled" không cần thiết; các hệ thống có thể dùng múi giờ khác nhau miễn thời gian tuyệt đối được cấu hình nhất quán. "System time must be set to GMT" không bắt buộc vì múi giờ hiển thị không quyết định đồng bộ UTC. "Systems must have their clocks set manually" dễ sai lệch theo thời gian; dịch vụ đồng bộ như NTP phù hợp hơn.

Đáp án đúng: "False". AH (Authentication Header) trong IPsec cung cấp xác thực nguồn gốc và kiểm tra toàn vẹn cho gói, nhưng không mã hóa payload để giữ bí mật. Nếu cần mã hóa dữ liệu truyền, thường dùng ESP với dịch vụ confidentiality; ESP còn có thể cung cấp xác thực và toàn vẹn tùy cấu hình. "True" sai vì đã gán chức năng mã hóa của ESP cho AH; bảo vệ toàn vẹn không đồng nghĩa với che nội dung. Phân biệt này quan trọng khi chọn giao thức theo yêu cầu: xác minh gói có bị sửa hay không khác với ngăn người khác đọc payload.

Đáp án đúng: "IIS". Internet Information Services là máy chủ ứng dụng/web của Microsoft dành cho Windows, nên không phải lựa chọn máy chủ ứng dụng được dùng trên Linux. "Tomcat" chạy trên Java và được triển khai phổ biến trên Linux. "JBoss" là máy chủ ứng dụng Java chạy trên Linux. "Apache" thường là web server, có thể chạy trên Linux và phục vụ nội dung hoặc ứng dụng qua mô-đun/CGI; cách gọi application server có thể rộng, nhưng nó không phải lựa chọn ngoại lệ rõ nhất.

Đáp án đúng: "False". AH (Authentication Header) trong IPsec cung cấp xác thực nguồn gốc và kiểm tra toàn vẹn cho gói, nhưng không mã hóa payload để giữ bí mật. Nếu cần mã hóa dữ liệu truyền, thường dùng ESP với dịch vụ confidentiality; ESP còn có thể cung cấp xác thực và toàn vẹn tùy cấu hình. "True" sai vì đã gán chức năng mã hóa của ESP cho AH; bảo vệ toàn vẹn không đồng nghĩa với che nội dung. Phân biệt này quan trọng khi chọn giao thức theo yêu cầu: xác minh gói có bị sửa hay không khác với ngăn người khác đọc payload.

Đáp án đúng: "IIS". Internet Information Services là máy chủ ứng dụng/web của Microsoft dành cho Windows, nên không phải lựa chọn máy chủ ứng dụng được dùng trên Linux. "Tomcat" chạy trên Java và được triển khai phổ biến trên Linux. "JBoss" là máy chủ ứng dụng Java chạy trên Linux. "Apache" thường là web server, có thể chạy trên Linux và phục vụ nội dung hoặc ứng dụng qua mô-đun/CGI; cách gọi application server có thể rộng, nhưng nó không phải lựa chọn ngoại lệ rõ nhất.

Đáp án đúng: "It acts as a centralized server that issues TGTs and service tickets for users.". Key Distribution Center (KDC) là thành phần trung tâm của Kerberos, gồm dịch vụ xác thực và cấp vé dịch vụ; người dùng dùng Ticket Granting Ticket (TGT) để xin vé truy cập dịch vụ. "It stores and manages encryption keys for end-to-end communication." mô tả không chính xác vai trò KDC như kho khóa mã hóa toàn bộ liên lạc đầu cuối. "It provides logging and monitoring for Kerberos ticket usage." không phải chức năng cấp vé cốt lõi. "It acts as a firewall, controlling access to critical network services." nhầm xác thực dựa trên vé với lọc lưu lượng mạng.

Đáp án đúng: "NTP". Kerberos kiểm tra dấu thời gian trong vé và giới hạn chênh lệch đồng hồ giữa máy khách, máy chủ và KDC; NTP giúp đồng bộ thời gian để vé không bị từ chối. "Telnet" là giao thức terminal từ xa không an toàn, không bắt buộc cho Kerberos. "NFS" có thể tích hợp xác thực Kerberos nhưng bản thân không cần thiết để Kerberos hoạt động. "Samba" cũng có thể dùng Kerberos trong môi trường miền, nhưng không phải dịch vụ nền tảng bắt buộc.

Đáp án đúng: "Ensuring that the Kerberos client configuration file (/etc/krb5.conf) includes the correct Kerberos server realm and KDC (Key Distribution Center) information.". Máy khách cần biết realm đang xác thực và địa chỉ KDC để yêu cầu vé Kerberos; cấu hình sai tên realm hoặc máy chủ sẽ khiến quá trình xác thực không tìm được dịch vụ phù hợp. Phân giải tên và đồng bộ thời gian cũng quan trọng, nhưng cấu hình realm/KDC là bước cốt lõi được hỏi. "Configuring the Kerberos client to use a static IP address" không bắt buộc nếu DNS hoặc cơ chế phân giải khác hoạt động chính xác. "Adding the Kerberos server’s hostname and IP address to the /etc/hosts file" có thể giúp phân giải tên khi cần, nhưng không thay thế khai báo realm và KDC. "Setting up a dedicated firewall rule to allow all incoming traffic on port 88" mở quá rộng và không phải cấu hình phía client cần có; Kerberos cần luồng phù hợp, không phải mọi lưu lượng vào.

Đáp án đúng: "It acts as a centralized server that issues TGTs and service tickets for users.". Key Distribution Center (KDC) là thành phần trung tâm của Kerberos, gồm dịch vụ xác thực và cấp vé dịch vụ; người dùng dùng Ticket Granting Ticket (TGT) để xin vé truy cập dịch vụ. "It stores and manages encryption keys for end-to-end communication." mô tả không chính xác vai trò KDC như kho khóa mã hóa toàn bộ liên lạc đầu cuối. "It provides logging and monitoring for Kerberos ticket usage." không phải chức năng cấp vé cốt lõi. "It acts as a firewall, controlling access to critical network services." nhầm xác thực dựa trên vé với lọc lưu lượng mạng.

Đáp án đúng: "NTP". Kerberos kiểm tra dấu thời gian trong vé và giới hạn chênh lệch đồng hồ giữa máy khách, máy chủ và KDC; NTP giúp đồng bộ thời gian để vé không bị từ chối. "Telnet" là giao thức terminal từ xa không an toàn, không bắt buộc cho Kerberos. "NFS" có thể tích hợp xác thực Kerberos nhưng bản thân không cần thiết để Kerberos hoạt động. "Samba" cũng có thể dùng Kerberos trong môi trường miền, nhưng không phải dịch vụ nền tảng bắt buộc.

Đáp án đúng: "Ensuring that the Kerberos client configuration file (/etc/krb5.conf) includes the correct Kerberos server realm and KDC (Key Distribution Center) information.". Máy khách cần biết realm đang xác thực và địa chỉ KDC để yêu cầu vé Kerberos; cấu hình sai tên realm hoặc máy chủ sẽ khiến quá trình xác thực không tìm được dịch vụ phù hợp. Phân giải tên và đồng bộ thời gian cũng quan trọng, nhưng cấu hình realm/KDC là bước cốt lõi được hỏi. "Configuring the Kerberos client to use a static IP address" không bắt buộc nếu DNS hoặc cơ chế phân giải khác hoạt động chính xác. "Adding the Kerberos server’s hostname and IP address to the /etc/hosts file" có thể giúp phân giải tên khi cần, nhưng không thay thế khai báo realm và KDC. "Setting up a dedicated firewall rule to allow all incoming traffic on port 88" mở quá rộng và không phải cấu hình phía client cần có; Kerberos cần luồng phù hợp, không phải mọi lưu lượng vào.