Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập thi lại số 1

Đáp án đúng: "2". Theo cách đếm hẹp được dùng ở đây, cơ sở xác thực cục bộ gồm passwd với thông tin tài khoản và shadow với các giá trị băm mật khẩu cùng chính sách hết hạn; group và gshadow chủ yếu quản lý nhóm và thành viên. Câu không xác định phạm vi của “major user authentication databases”, nên cách đếm rộng hơn có thể đưa các tệp nhóm vào danh sách, nhưng căn cứ đã chốt chỉ tính hai cơ sở xác thực. "3" cộng thêm group dù tệp này quản lý nhóm; "4" còn cộng gshadow, cũng dành cho dữ liệu quản trị nhóm; "5" không nêu cơ sở thứ năm nào; "Other answer" không đưa ra một con số hay cách phân loại cụ thể.

Đáp án đúng: "True". PAM là Pluggable Authentication Modules, một lớp module cho phép các ứng dụng Linux dùng chính sách xác thực linh hoạt như kiểm tra mật khẩu, tài khoản, phiên làm việc hoặc khóa tài khoản. "False" không đúng vì phát biểu xác định đúng vai trò của PAM trong chuỗi xác thực. PAM không phải một phương thức xác thực duy nhất; từng ứng dụng cấu hình các stack module phù hợp, nên chính sách có thể được thay đổi mà không cần viết lại ứng dụng.

Đáp án đúng: "MAC enforces centralized. system-wide policies, while DAC allows user-defined permissions.". Mandatory Access Control (MAC) áp chính sách do hệ thống quản lý, người dùng thông thường không thể tự nới quyền; Discretionary Access Control (DAC) cho phép chủ sở hữu quyết định quyền truy cập như quyền đọc, ghi, thực thi. "DAC is stricter and enforces system-wide rules, while MAC is user-defined." đảo ngược hai khái niệm. "DAC uses kernel modules, MAC uses user space." nhầm cơ chế chính sách với vị trí triển khai, vì MAC thường được thực thi qua kernel. "MAC is less secure and should be disabled in most systems." là kết luận sai; MAC bổ sung kiểm soát và việc bật hay cấu hình phụ thuộc yêu cầu hệ thống.

Đáp án đúng: "Locate the kernel and load it into memory". Bootloader chạy sau firmware, tìm kernel cùng các tham số khởi động rồi nạp chúng vào bộ nhớ để kernel khởi tạo phần cứng và hệ thống. "Locate the memory and load it into kernel" đảo ngược quan hệ: bộ nhớ được firmware/kernel khởi tạo, không phải vật thể mà bootloader tìm để nạp vào kernel. "Start the command line interface" thường do tiến trình init và dịch vụ đăng nhập thực hiện sau khi kernel khởi động. "Start the graphical interface" thuộc display manager và môi trường đồ họa. "Start the command line interface and the graphical interface" cũng mô tả bước sau của hệ thống, không phải trách nhiệm bootloader.

Đáp án đúng: "User-defined read, write, and execute permissions". Discretionary Access Control (DAC, kiểm soát truy cập tùy ý) cho phép chủ sở hữu tài nguyên hoặc người có quyền thích hợp đặt quyền đọc, ghi, thực thi cho người dùng và nhóm. Đây là mô hình quyền Unix cơ bản, khác chính sách bắt buộc do hệ thống áp đặt. "SELinux" là cơ chế Mandatory Access Control dựa trên nhãn và chính sách. "AppArmor" áp chính sách giới hạn chương trình qua hồ sơ, không phải quyền tùy ý do chủ sở hữu tệp quyết định. "PolicyKit" điều khiển quyền thực hiện các hành động đặc quyền của ứng dụng và dịch vụ, không phải ví dụ trực tiếp về quyền DAC trên tệp.

Đáp án đúng: "For authentication across multiple systems". Kerberos cung cấp xác thực mạng dựa trên vé và bên thứ ba tin cậy, giúp người dùng chứng minh danh tính với nhiều dịch vụ mà không phải gửi mật khẩu qua từng kết nối. "To encrypt all user data on the network" sai vì Kerberos không tự mã hóa mọi lưu lượng ứng dụng; "To monitor network traffic" là chức năng giám sát; "As a replacement for SSH" sai vì SSH là giao thức truy cập an toàn riêng và có thể tích hợp xác thực Kerberos.

Đáp án đúng: "Systemd". CentOS 7 dùng systemd làm init system mặc định để khởi động hệ thống và quản lý unit, dịch vụ, phụ thuộc cùng trạng thái vận hành. "SysV" là hệ init kiểu script từng dùng rộng rãi ở các bản Linux cũ, nhưng CentOS 7 đã chuyển sang systemd. "Upstart" được Ubuntu dùng trong một giai đoạn trước khi chuyển sang systemd, không phải init mặc định của CentOS 7. "BSD Init" thuộc họ hệ điều hành BSD và không phải lựa chọn mặc định trên bản phân phối này.

Đáp án đúng: "/boot/". Thư mục /boot chứa kernel, initramfs và dữ liệu bootloader; sau khi cài đặt hoặc cập nhật, hệ thống thường chỉ đọc các tệp này nên có thể phù hợp với mount chỉ đọc khi quy trình quản trị cho phép. "/home/" thường xuyên nhận thay đổi từ hồ sơ và dữ liệu người dùng. "/mnt/" là điểm gắn tạm, không đại diện cho dữ liệu cố định phù hợp để khóa chỉ đọc. "/srv/" chứa dữ liệu dịch vụ có thể cần cập nhật khi nội dung được triển khai.

Đáp án đúng: ".gnupg". GnuPG lưu cấu hình, khóa bí mật và khóa công khai của người dùng trong thư mục ẩn ~/.gnupg; khóa riêng cần được bảo vệ bằng quyền truy cập hạn chế. ".gpg" thường là phần mở rộng tệp được mã hóa hoặc chữ ký, không phải thư mục keyring mặc định. ".gpgkeys" không phải tên thư mục chuẩn GnuPG. ".keys" là tên chung, có thể do ứng dụng tự chọn nhưng không phải vị trí mặc định được hỏi.

Đáp án đúng: "Enhance the system's security and reduce vulnerabilities". Khởi động một hệ thống đã harden nghĩa là triển khai cấu hình đã giảm dịch vụ, quyền và thành phần không cần thiết, qua đó thu hẹp bề mặt tấn công và giảm khả năng khai thác lỗ hổng. Mức bảo vệ thực tế còn tùy cấu hình, cập nhật và giám sát sau khi khởi động. "Increase the graphical capabilities of the system" thuộc cài đặt phần mềm đồ họa chứ không phải mục tiêu hardening. "Improve the system's boot time" có thể thay đổi tùy cấu hình nhưng không phải kết quả bảo mật cốt lõi. "Expand the system's storage capacity" cần thêm hoặc thay thiết bị lưu trữ, không thể đạt chỉ bằng cấu hình an ninh.