8 tiện ích cá nhân mở rộng cho Firefox

Bảo vệ cuộc sống đời tư trực tuyến của bạn từ những “con mắt xoi mói” bằng các add-on giúp bảo mật quyền riêng tư của Firefox.
Mọi người thường nói quyền riêng tư sẽ không có chỗ tồn tại trên Web – nhưng nó cũng không có nghĩa rằng bạn không thể thử bảo vệ các thông tin cá nhân của mình. Máy tính của chúng ta được tải với đầy đủ thông tin về cuộc sống đời tư cũng như công việc kinh doanh, và chắc chắn rằng việc tiết lộ lung tung những thông tin này là điều không thể chấp nhận được. Bởi các hành động, chiêu thức tấn công của hacker đang ngày càng trở nên phức tạp và tinh vi, chúng ta càng phải cẩn thận.
Một mối lo ngại về quyền riêng tư trên Web là việc sử dụng Cookies – thông tin được lưu lại trên máy tính bởi các trang web bạn ghé thăm – cùng với các công nghệ khác để theo dõi thói quen trình duyệt, kích, tìm kiếm, truy cập mạng xã hội và thói quen mua sắm của bạn khi bạn chuyển từ trang này sang trang khác. Những công nghệ theo dõi này sẽ xây dựng một profile trực tuyến của bạn và được sử dụng không chỉ để gửi cho bạn các thông tin quảng cáo với mục đích thuyết phục người đọc (tiện ích với một số người, gây khó chịu với một số người khác) nhưng chúng cũng có thể sử dụng cho các mục đích xấu nếu thông tin rơi vào tay kẻ xấu.
Một mối lo ngại khác là một lượng lớn các file sẽ chồng chất lên ổ cứng của bạn – bản ghi lịch sử trình duyệt, các cookies đăng nhập, cache các trang,… - có thể truy cập bởi ai đó (người mượn máy tính của bạn có khả năng kiểm soát vật lý máy tính) hoặc bị điều khiển từ xa bởi các hacker, những kẻ cài đặt malware trên hệ thống của bạn. Thông tin này có thể kể đến như thông tin chi tiết tài khoản ngân hàng, số thẻ tín dụng, mật khẩu các trang web và bản ghi những lần truy cập của bạn vào các địa chỉ xấu.
Các phiên bản hiện tại của trình duyệt Web phổ biến đều cung cấp tính năng “trình duyệt riêng tư” – bạn kích hoạt chúng và lướt web như bình thường, nhưng cookies, mật khẩu và bản ghi truy cập Web cùng với cache trình duyệt sẽ được xóa hoàn toàn khi người dùng đóng cửa sổ trình duyệt sau khi sử dụng xong. Trình duyệt riêng tư cung cấp một số mức độ bảo vệ nếu bạn sẵn sàng loại bỏ sự tiện ích của bản ghi truy cập Web và mật khẩu được lưu lại. Tuy nhiên, các nhà nghiên cứu thuộc đại học Stanford và Carnegie Mellon đã phát hiện ra rằng không có một trình duyệt nào thực sự loại bỏ tất cả dấu vết của các mục trình duyệt riêng tư.
Trong vấn đề này, số lượng lớn các add-on của Firefox đều nhận được cả lời khen lẫn chê. Một mặt, các nhà nghiên cứu thấy rằng một số add-on, ví như những add-on giúp tìm kiếm tốt hơn, có thể lưu trữ thông tin nhằm hỗ trợ người dùng có thể truy hồi lại sau khi kết thúc trình duyệt riêng tư.
Mặt khác, có rất nhiều tiện ích mở rộng của Firefox (một số cũng hỗ trợ trình duyệt khác) có khả năng bảo vệ quyền riêng tư của bạn ở mức độ cao hơn và vượt trộ so với một trình duyệt riêng tư có thể làm được. Để có thể quản lý toàn diện quyền riêng tư của mình, bạn nên cài đặt và sử dụng ít nhất một vài trong số 8 tiện ích mở rộng của Firefox dưới đây.

PasswordMaker
Một nguyên tắc bảo mật cơ bản là bạn nên sử dụng một mật khẩu độc nhất, không thể đoán được cho mỗi trang bạn truy cập. Tuy nhiên liệu bạn có thể nhớ được mật khẩu LV307gbH(* cho mỗi lần truy cập tài khoản web mail của mình? PasswordMaker sẽ giúp bạn giải quyết vấn đề này bằng cách tạo ra một mật khẩu mới cho mỗi trang – tất cả việc bạn cần phải làm là nhớ mật khẩu chính của mình để có thể mở được tiện ích mở rộng này.

PasswordMaker sử dụng một thuật toán dựa trên mật khẩu chính của bạn, địa chỉ URL của trang web, tên người dùng và 6 nhân tố khác để tạo mật khẩu cho mỗi lần truy cập trang web. Điều này có nghĩa rằng chương trình sẽ không bao giờ lưu mật khẩu trên máy tính của bạn (hoặc trên một máy chủ trung tâm nào đó) – vì thế cho nên nếu ai đó truy cập vào máy tính của bạn, mật khẩu sẽ được an toàn cho tới khi chúng không còn được lưu trữ trên máy tính nữa.
Hiển nhiên, điều quan trọng nhất là không được quên mật khẩu chính khi sử dụng PasswordMaker. Ngoài ra, một việc rất quan trọng khác là bạn cần phải nhớ hoặc sao lưu cài đặt tài khoản và cấu hình; thuật toán sử dụng trong những cài đặt trên khi tạo mật khẩu, vì vậy bạn sẽ phải tái tạo lại chúng nếu hệ thống của bạn bị hỏng. Trang web chính của chương trình này cũng cung cấp một số thủ thuật giúp bạn có thể khôi phục từ một hệ thống bị lỗi.
Ghostery

Cookies được tạo ra bởi quảng cáo và trang web có thể được sử dụng để theo dõi những bước đi của bạn từ trang này sang trang khác: Bất cứ khi nào bạn truy cập một trang web với mã của một quảng cáo cụ thể nào đó, nó có khả năng kiểm tra trang web mà bạn vừa truy cập với mã của nó, bạn đã làm gì ở trang đó và bạn đã kích vào đâu. Sau đó chúng sẽ sử dụng các thông tin trên để xây dựng một Profile về thói quen lướt web của bạn.
Nếu bạn muốn có được nhiều quyền riêng tư hơn, hãy hạn chế cấu hình lướt web. Việc sử dụng cài đặt bảo mật và riêng tư của trình duyệt để ngăn chặn các hành động Cookies của các ứng dụng bên thứ 3 cũng có thể giúp bạn, nhưng một số dịch cụ theo dõi vẫn có khả năng qua mặt các tính năng quản lý trên.
Với tiện ích mở rộng Ghostery, một phần của dự án Better Advertising, có khả năng nhận dạng mã từ 200 quảng cáo khác nhau và các mạng theo dõi khác. Sau đó, tiện ích sẽ hiển thị cho người dùng ai đang thu thập dữ liệu về bạn và dạng dữ liệu đang bị thu thập là gì. Bạn có thể chọn hoặc cho phép từng dịch vụ có thể theo dõi mình hoặc chặn chúng lại.
Khi một trang web lần đầu được tải, Ghostery sẽ hiển thị một danh sách những người đang theo dõi ở trên cùng bên phải của trình duyệt. Nếu bạn muốn biết thêm thông tin, bạn có thể kích vào icon ghost trên thanh Status của trình duyệt. Sau đó, sẽ có một menu liệt kê toàn bộ danh sách những người đang theo dõi bạn cùng với các đường link, giúp hiển thị thông tin chi tiết hơn.
Thậm chí, bạn còn có thể thấy được mã cụ thể để biết được chính xác những kẻ theo dõi này đang làm gì. Kích “Block” vào bất cứ người theo dõi nào là bạn dã có thể ngăn chặn mã JavaScript của chúng được tải trên trang bạn đang truy cập hoặc bất kì một trang nào khác có sử dụng chung một dịch vụ.
Ngoài ra, người dùng cũng có thể sử dụng Ghostery trên Internet Explorer và Chrome.
BetterPrivacy
BetterPrivacy – một sản phẩm của NettiCat – cung cấp các biện pháp bảo vệ giúp bảo vệ người dùng khỏi sự gia tăng của các loại Cookie thông thường như Local Shared Object (LSO) Cookie hoặc Flash Cookie. Các LSO Cookie được sử dụng bởi plug-in của Adobe Flash Player để có thể lưu trữ các loại thông tin thường vẫn được lưu trong Cookie của các trình duyệt.

Tuy nhiên, do LSO cookie được lưu trữ trong folder hệ thống thay vì folder của trình duyệt, nên người dùng có thể dễ dàng xóa chúng. Hơn nữa, không giống với Cookie của trình duyệt, LSO không bao giờ hết hạn, và chúng có thể giữ được hơn 25 lần thông tin so với Cookie thông thường có thể nắm giữ.
Kể từ khi chúng được thay thế bởi Flash, cài đặt bảo mật của trình duyệt không có ảnh hưởng nào tới chúng nữa. Và đó cũng chính là nơi chúng trở nên khó lường hơn – một số công ty sử dụng Flash Cookie để nhân đôi các Cookie trình duyệt của họ. bạn có thể xóa Cookie của trình duyệt của một trang, nhưng LSO vẫn còn đó – và nó có thể khôi phục Cookie ban đầu ngay lần truy cập tiếp theo vào trang web trên. Khả năng hồi sinh này đã làm nảy sinh thêm 2 cái tên mới: Super-Cookie và Zombie Cookie.
Đây chính là lý do tại sao có sự hiện diện của BetterPrivacy. Tiện ích mở rộng này có thể được cài đặt tự động xóa tất cả các Flash Cookie sau mỗi lần bạn đóng trình duyệt, hoặc bạn có thể tự quản lý và xóa từng LSO không cần thiết để thông tin không bị ai truy cập hoặc sử dụng để theo dõi từng bước đi của bạn trên các trang.
Khi bạn cài đặt BetterPrivacy, sẽ không có thay đổi rõ ràng nào trên Firefox. Tuy nhiên, khi bạn đóng cửa sổ trình duyệt, tiện ích này sẽ kiểm tra LSO. Nếu chúng tìm kiếm thấy bất kì điều gì bất thường, bạn sẽ thấy một hộp thoại yêu cầu bạn xác nhận rằng bạn có muốn xóa chúng hay không. Nếu bạn nhấn Cancel, tiện ích sẽ không thực hiện bất kì điều gì; nếu bạn nhấn OK, tiện ích sẽ xóa hoàn toàn tất cả những gì có trong LSO. Ngoài ra, cũng có một lựa chọn cho phép BetterPrivacy có thể xóa tự động toàn bộ LSO sau mỗi lần người dùng đóng cửa sổ trình duyệt.
Để có thể quản lý trực tiếp LSO, hãy mở cửa sổ Preferences của BetterPrivacy trong menu Tools. Tại đây, bạn có thể loại bỏ chúng từng cái một hoặc toàn bộ chúng; bạn cũng có thể thêm một số LSO cụ thể vào một danh sách trắng nhằm tránh việc chúng bị xóa tự động sau này.
KeyScrambler Personal

Một trong những nguy cơ xảo quyệt khác kẻ xấu có thể áp dụng với bạn là một Keylogger, một phần mềm nhỏ gọn có khả năng ghi lại toàn bộ những lần nhấn phím của bạn và gửi lại cho những kẻ xấu này. Mỗi lần nhấn phím của bạn có thể cung cấp cho những kẻ tội phạm công nghệ thông tin cá nhân như số Social Security của bạn, hoặc số thẻ tín dụng, và tất nhiên là cả thông tin đăng nhập của bạn vào các trang web, các ứng dụng hay thông tin đăng nhập máy tính của bạn.
KeyScrambler Personal của hãng QFX Software cung cấp một phương pháp thông minh giúp người dùng có thể đánh bại keylogger – khi bạn gõ phím, tiện ích sẽ mã hóa toàn bộ những phím được gõ rồi giải mã chúng trên trình duyệt chính. Bất kì một malware ghi lại những lần gõ bàn phím trên máy tình của bạn sẽ chỉ nắm bắt được tín hiệu đã được mã hóa và chúng chỉ có thể hiểu được đó chỉ là những câu nói sai ngữ pháp.
Người dùng có thể sử dụng KeyScrambler Personal cho Firefox, IE và Flock miễn phí. Tuy nhiên, vẫn có các phiên bản trả phí như phiên bản Pro ($29.99) và Premium ($44.99). Những phiên bản trả phí này sẽ mở rộng bảo vệ tới các trình duyệt khác, các tài khoản email, quản lý mật khẩu và rất nhiều ứng dụng khác.
Hãy chú ý rằng KeyScrambler chỉ hoạt động với Windows; chúng tôi vẫn chưa thấy phương pháp bảo vệ tương tự nào đối với người dùng Mac. Nếu bạn biết được một tiện ích tương tự dành cho Mac, hãy cho chúng tôi biết ở mục comment của bài báo.
NoScript

Tiện íc mở rộng NoScript của Giorgio Maone giúp ngăn chặn JavaScript, Java và các nội dung thực thi khác khỏi việc chạy trên bất kì một trang web nào bạn hoàn toàn không muốn cho phép chạy Script. Đây là một biện pháp bảo vệ quan trọng nhằm chống lại kỹ thuật tấn công đang rất phổ biến hiện nay là Cross-Site Scripting (XSS), nơi hacker có thể thêm mã vào các trang web bằng cách tận dụng những lỗ hổng trong ngôn ngữ Script vào nội dung của trang. Hacker sử dụng XSS để cài đặt các mã độc lên máy tính của người dùng để có thể thực hiện hành động keylogging, ăn trộm mật khẩu hoặc lừa đảo trực tuyến. Hiện nay, đây vẫn là phương pháp hiệu quả nhất để phân phát mã độc.
Ngoài ra, NoScript cũng rất hiệu ích trong việc ngăn chặn một dạng tấn công mới đang nổi lên trong việc theo dõi người dùng có tên là Browser Fingerprinting – dấu ấn trình duyệt. Mới đây, một nghiên được triển khai bởi Electronic Frontier Foundation (EFF) đã cho thấy mặc dù không có Cookie hoặc malware, các trang web vẫn có thể để lộ đầy đủ thông tin về người dùng từ chính trình duyệt nhằm xây dựng một Profile. Profile này được dùng để theo dõi thông tin người dùng từ trang này sang trang khác. EFF cũng khẳng định rằng NoScript là một phương pháp bảo vệ hiệu quả trong việc chống lại kiểu tấn công mới này.
Bởi có rất nhiều trang Web dựa vào chức năng cơ bản từ các ngôn ngữ Script mà NoScript có thể chặn được, một nút Options ở cuối cùng cửa sổ trình duyệt hiển thị một menu với lựa chọn bạn có thể sử dụng hoàn toàn hoặc một phần Script trên các trang bạn tin tưởng.

Tor-Proxy.Net Toolbar

Tor Project là một dịch vụ ẩn danh giúp tạo một đường hầm lưu lượng web thông qua một mạng của Router ngẫu nhiên nhằm gây khó khăn hơn cho những kẻ quan sát bên ngoài khi chúng không thể theo dõi bất kì một hành động trên Web nào của máy tính bạn đang sử dụng. Bạn có thể cài đặt chương trình Tor trên máy tính của mình và hướng tất cả lưu lượng Web sử dụng thông qua Tor, nhưng bởi các gói tin của bạn sẽ “nhảy ra” khỏi máy chủ trên toàn thế giới, nên trải nghiệm sử dụng Internet của bạn sẽ chậm hơn.
Tuy nhiên, khi sử dụng Tor-Proxy.Net Toolbar, bạn có thể chọn sử dụng Tor dựa trên từng trường hợp, truy cập ẩn danh những trang đã chọn trước đó trong khi vẫn giữ được kết nối ẩn danh trong thẻ Firefox khác. Chỉ cần điền URL trang bạn muốn truy cập vào Tor-Proxy.Net Toolbar thay vì điền vào thanh của Firefox rồi kích "by Tor."
Tiện ích này cũng cung cấp 2 lựa chọn khác: bạn có thể kích vào "by JAP/JonDos" để sử dụng dịch vụ ít phổ biến hơn là JonDonym. Dịch vụ này cung cấp khả năng thực thi có chút tốt hơn nhưng khả năng ẩn danh của chúng lại yếu hoan, hoặc bạn có thể kích vào "by Express-Service" để sử dụng máy chủ ẩn danh riêng của Tor-Proxy.Net. Dịch vụ này làm việc nhanh hơn so với các dịch vụ khác nhưng không có được độ bảo mật cao so với các dịch vụ đó. Đó chính là lý do tại sao cho đến nay nó vẫn không được thiết lập thành một dịch vụ ẩn danh chính.
FireFound
Một trong những mối lo ngại lớn nhất với quyền riêng tư là khi chúng ta mất hoặc bị ăn trộm máy tính xách tay hoặc máy tính để bàn bởi những ai tìm thấy hoặc trộm chúng đều có thể truy cập tất cả dữ liệu đã được lưu trên máy. Tiện ích FireFound của Chris Finke sẽ dò tìm ra địa điểm trên mạng của chiếc máy tính bạn bị mất hoặc bị trộm bất cứ khi nào nó được kết nối với mạng Internet. Nếu chúng bị thay đổi địa điểm, FireFound sẽ gửi một thông báo tới máy chủ trung tâm cùng với địa điểm mới.

Vì vậy, nếu máy tính của bạn bị trộm hoặc bạn quên đã đặt nó ở đâu đó, bạn có thể đăng nhập vào máy chủ có mật khẩu vảo vệ của FireFound để có thể tìm ra nơi chúng có thể đang hiện diện. Bạn cũng có thể đặt FireFound gửi thông báo thông qua email bất cứ khi nào máy tính di chuyển khỏi một khoảng cách cụ thể nào đó.
Ngoài ra, FireFound còn cho phép bạn gửi chỉ dẫn từ xa để xóa mật khẩu lưu ở các trình duyệt, cache các trang, bản ghi lịch sử những lần lướt web, dữ liệu, và các thông tin cá nhân khác từ Firefox. Bằng cách này, bất kì ai đang nắm quyền kiểm soát máy tính của bạn đều không thể sử dụng trình duyệt để truy cập các tài khoản trực tuyến hoặc lấy các thông tin cá nhân của bạn từ các bản cache.
Tiện ích mở rộng này dựa trên dịch vụ miễn phí FireFound.com, hoặc bạn có thể cài đặt riêng cho mình một máy chủ mã nguồn mở FireFound. Với tài khoản Premium ($1 một tháng) sẽ cho phép bạn mã hóa và sao lưu từ xa những mật khẩu đã được lưu trước khi xóa chúng từ chiếc máy tính bị mất của bạn; tài khoản này cũng cho phép bạn tạo ra các “vùng an toàn” khi những di chuyển của máy tính sẽ không được gửi thông báo email.
OptimizeGoogle
Google cung cấp một loạt các dịch vụ tiện ích giúp việc sử dụng Internet của bạn trở nên dễ dàng và tiện ích hơn. Tuy nhiên, khi sử dụng những dịch vụ này, bạn sẽ phải chịu tổn thất một điều: quyền riêng tư của bạn. Nếu bạn sử dụng càng nhiều dịch vụ của Google, bạn đang đưa cho hãng này quyền truy cập bản ghi tìm kiếm, email, video và ảnh đã được upload và rất nhiều dạng dữ liệu khác. Tất cả những loại dữ liệu này sẽ tồn tại trong máy chủ của Google hàng tháng, thậm chí hàng năm.

Tiện ích mở rộng OptimizeGoogle cung cấp những thủ thuật nhỏ giúp nâng cấp trải nghiệm Google của bạn, ví như thêm các đường link tới các trang kết quả từ Yahoo, Ask và các công cụ tìm kiếm khác khi bạn muốn tìm kiếm một điều gì đó và cảm thấy vẫn chưa hài lòng với kết quả tìm kiếm của Google. Tiện ích mở rộng này cũng cung cấp rất nhiều lựa chọn mức độ bảo mật. đáng chú ý nhất là khả năng bảo mật mặc định HTTPS trình duyệt trên tất cả các dịch vụ của Google và loại bỏ sự theo dõi của quảng cáo hoặc Google Analytics.

Điều khiển truy cập Internet: Giới thiệu về TMG Access Rule – Phần 2

Quản trị mạng – Trong phần hai của loạt bài này, chúng tôi sẽ giới thiệu cho các bạn chi tiết về Access Rules sau khi đã cùng nhau đi tạo xong một rule bằng wizard trong phần 1.

>>  Điều khiển truy cập Internet: Giới thiệu về TMG Access Rule – Phần 1

Trong phần 1 của loạt bài gồm có hai phần về Access Rules này, chúng tôi đã giới thiệu cho các bạn về mục đích và quá trình tạo Access Rule cũng như cách sử dụng Access Rule wizard cho việc tạo một rule nào đó. Trong phần này, chúng tôi sẽ giới thiệu cho các bạn chi tiết về Access Rules sau khi đã cùng nhau đi tạo bằng wizard trong phần 1. Chúng tôi muốn thực hiện điều này là vì có một số thiết lập không lộ diện trong Access Rule wizard.

Nếu kích đúp vào một rule truy cập nào đó sau khi tạo nó, bạn sẽ thấy hộp thoại Properties cho rule xuất hiện. Tab đầu tiên mà bạn sẽ thấy là tab General. Ở đây bạn có thể đặt lại tên của rule và cung cấp phần mô tả cho nó. Chúng tôi thấy phần mô tả là rất hữu dụng, vì bạn có thể minh chứng bằng tài liệu mục đích của rule, ai đã tạo rule, rule được tạo khi nào và lý do nó được tạo, chẳng hạn như ai đó đã yêu cầu tạo rule hoặc vấn đề doanh nghiệp nào đó mà nó cần giải quyết.

Lưu ý rằng thứ tự đánh giá Evaluation order nằm trong tab này. Mặc dù vậy, bạn cần biết đây là thứ tự đánh giá cho danh sách các rule tường lửa nằm bên ngoài các rule System Policy. Các rule System Policy luôn được đánh giá trước các rule chính sách. Bạn cũng có thể kích hoạt hoặc vô hiệu hóa rule bằng cách sử dụng hộp kiểm Enable.

Hình 1

Trên tab Action, bạn có một số tùy chọn:

• Allow – Khi chọn tùy chọn này, rule sẽ trở thành rule cho phép và khi cố gắng kết nối khớp với các thiết lập trong rule này, kết nối sẽ được cho phép.
• Deny – Khi chọn tùy chọn này, rule trở thành rule từ chối và cố gắng kết nối khớp với các thiết lập trong rule này, kết nối sẽ bị từ chối.
• Display denial notification to user – Nếu rule là HTTP rule và chọn tùy chọn này thì bạn có thể nhập vào một đoạn văn bản, đoạn văn bản này sẽ được trả về với người dùng khi kết nối bị từ chối. Thông tin này sẽ được hiển thị trong cửa sổ của trình duyệt. Bằng cách sử dụng tùy chọn này, bạn có thể cho phép người dùng biết tại sao kết nối bị từ chối.
• Add denied request category to notification – Tùy chọn này chỉ có sẵn khi URL filtering được kích hoạt nếu kích hoạt URL filtering trên tường lửa TMG của mình, ban sẽ có tùy chọn để cho phép người dùng biết, khi yêu cầu bị từ chối, site mà người dùng cố gắng truy cập nằm trong hạng mục nào. Nói chung, người dùng không thực sự quan tâm đến các thông tin này, tuy nhiên nếu bạn có các rule áp cho các quản trị viên và một số người dùng đặc biệt, rất có thể họ sẽ quan tâm đến các thông tin này để tạo các yêu cầu nhằm phân loại lại các site.
• Redirect web client to the following URL – Nếu không muốn cung cấp cho người dùng một trang hiển thị tại sao kết nối bị từ chối, bạn có tùy chọn để chuyển hướng (redirect) người dùng đến một website nào đó. Đây có thể là website gồm có các hạng mục thỏa thuận dịch vụ mà bạn đặt ra với người dùng hoặc một site giáo dục cung cấp cho họ các thông tin về việc sử dụng thích hợp kết nối Internet công ty.
• Log requests matching this rule – Tùy chọn này được kích hoạt mặc định và cho phép các kết nối khớp với rule này sẽ được ghi vào trong bản ghi của tường lửa TMG. Mặc dù vậy, sẽ có lần bạn không muốn ghi các thông tin – chẳng hạn như lưu lượng không thích hợp. Điều này sẽ làm giảm được kích thước tổng thể của file bản ghi và tạo cho các bản ghi của bạn trong sáng hơn, dễ dàng độc và phân tích cú pháp hơn.

Hình 2

Trong trang Protocols, bạn có một số tùy chọn tương tự như các tùy chọn có trong Access Rule wizard. Hộp chọn This rule applies to cũng cung cấp các tùy chọn tương tự và bạn có thể sử dụng các nút Add, Edit và Remove để chỉnh sửa, thêm, bớt các giao thức sẽ áp với rule này. Bạn cũng có tùy chọn Ports đã có sẵn. Nút Filtering, khi được kích hoạt, sẽ cho phép bạn cấu hình HTTP Policy cho rule (nếu nó là một HTTP rule). Tính năng này được nhóm vào các phiên bản trước của tường lửa ISA, được biết đến nhiều hơn với các tên HTTP Security Filter. Cũng có thể có các bộ lọc khác – phụ thuộc vào giao thức bạn sử dụng – nếu bộ lọc có thể áp với các giao thức gửi ra. Hầu hết các bộ lọc giao thức mà chúng ta có với TMG đều được thiết kế để bảo vệ kết nối gửi vào, tuy nhiên có một số áp cho các giao thức gửi ra.

Hình 3

Trong tab From, bạn có thể định nghĩa các nguồn mà rule sẽ áp cho chúng. Có nhiều máy khách nằm trên mạng bảo vệ TMG. Tùy chọn này tương tự như những gì bạn thấy trong Access Rule wizard. Khi kích Add, bạn sẽ thấy xuất hiện hộp thoại Add Network Entities và có thể chọn từ một số entry mạng hoặc tạo các entry mới. Một tùy chọn có sẵn trong tab này nhưng không lộ diện trong Access Rule wizard là phần Exceptions. Ở đây bạn có thể thiết lập các nguồn mà mình muốn rule áp với nó, tuy nhiên lại có một tập con bên trong nhóm đó là ngoại lệ, bạn có thể đặt các trường hợp ngoại lệ đó vào phần Exceptions. Đây là một tùy chọn hết sức mạnh và đôi khi cần phải lưu ý trong thiết kế Access Rules của bạn.

Hình 4

Tab To cũng tương tự với tab From, nơi bạn định nghĩa đích mà mình muốn rule khớp với. Khi kích Add, bạn sẽ thấy hộp thoại Add Network Entities, có thể chọn đích từ danh sách hoặc có thể tạo một đích mới. Như bên trong tab From, bạn cũng có tùy chọn cho việc tạo các ngoại lệ Exceptions.

Hình 5

Trong tab Users, bạn có thể định nghĩa rule sẽ áp cho người dùng nào. Mặc định, All Users là tập người dùng được sử dụng cho Access Rules. Cần lưu ý All Users ở đây không thực sự có nghĩa là tất cả người dùng mà chỉ là các kết nối nặc danh và các kết nối được nhận thực – vì vậy nó có nghĩa “phạm vi người dùng không được xem xét”. Nếu bạn muốn bắt người dùng phải nhận thực, bạn cần phải sử dụng một tập người dùng khác và remove tập người dùng All Users.

Nếu kích Add, bạn có thể chọn All Authenticated Users và chỉ có người dùng có thể nhận thực với tường lửa TMG mới được phép truy cập qua rule này. Sự nhận thực có thể được thực hiện qua cấu hình web proxy máy khách hoặc cấu hình Firewall máy khách (TMG máy khách). Nếu muốn tạo một tập người dùng của riêng mình, bạn hãy kích nút New.

Hình 6

Khi kích New, chương trình sẽ khởi chạy Welcome to the New User Set wizard. Trên trang đầu tiên của wizard, nhập vào tên cho tập người dùng. Trong ví dụ này, chúng ta sẽ tạo một tập người dùng gồm có nhóm Domain Admins Active Directory, vì vậy hãy đặt tên cho rule này là Administrators và kích Next.

Hình 7

Trong trang Users, khi kích Add, một menu sẽ xuất hiện. Menu này gồm có các nguồn nhận thực sau:

• Windows users and groups – Có nhiều người dùng và nhóm người dùng bên trong miền Active Directory hoặc một miền đích thực mà tường lửa TMG thuộc về nó.
• LDAP – Có nhiều người dùng và nhóm người dùng bên trong Active Directory và bạn có thể sử dụng khi tường lửa TMG không phải là một thành viên của miền. Cần lưu ý rằng TMG không hỗ trợ nhận thực LDAP cho Access Rules.
• RADIUS – Có người dùng có thể truy cập qua RADIUS. Lưu ý rằng bản thân RADIUS không hỗ trợ Group Membership, mặc dù vậy bạn có thể tạo một tập người dùng có chứa nhiều tài khoản có thể truy cập thông qua RADIUS, một thứ khá hiệu quả trong các nhóm đặc biệt trên tường lửa TMG. RADIUS được hỗ trợ cho các kết nối web gửi ra qua tường lửa TMG.
• SecurID – Có nhiều người dùng được định nghĩa bởi SecurID. Tuy nhiên SecurID không được hỗ trợ cho các kết nối gửi ra qua tường lửa TMG thông qua Access Rules.

Trong ví dụ này, tường lửa TMG đã gia nhập vào miền Active Directory, vì vậy chúng ta sẽ chọn Windows users and groups.

Hình 8

Bạn sẽ thấy xuất hiện hộp thoại Select Users or Groups. Chúng ta nhập Domain Admins vào trong hộp văn bản Enter the object names to select và kích Check Names sau đó kích OK để thêm nhóm Active Directory này vào tập người dùng.

Hình 9

Bạn sẽ thấy tập người dùng mới trên trang Users. Có thể thêm nhiều người dùng nữa vào tập người dùng này nếu thích. Trong ví dụ này, chúng ta sẽ kích Next và không thêm bất cứ ai vào tập người dùng này.

Hình 10

Trong trang Completing the New User Set Wizard, kích Finish để tạo tập người dùng mới.

Hình 11

Lúc này, bạn có thể tạo nhóm Administrators trong hộp thoại Add Users và có thể sử dụng nhóm này trong Access Rules và việc  publish các rule.

Hình 12

Trên tab Schedule, bạn có thể thiết lập một lịch trình cho rule để đặt thời gian rule sẽ được áp dụng. Lưu ý rằng khi bạn định nghĩa một lịch trình, lịch trình sẽ chỉ được áp dụng cho các kết nối mới để phòng trường hợp người dùng đã kết nối trước khi lịch trình hết hạn, khi đó kết nối của người dùng sẽ không bị đứt. Mặc dù vậy, nếu một cố gắng kết nối mới hợp với rule nằm bên ngoài lịch trình, kết nối đó sẽ bị từ chối. Lịch trình mặc định luôn là Always, tuy nhiên có hai lịch trình đi kèm khác: Weekends và Work hours. Nếu không thích các lịch trình đi kèm này, bạn có thể kích nút New và tạo một lịch tình tùy biến.

Hình 13

Tab Malware Inspection là một tab chỉ có sẵn trên tường lửa TMG. Có một vài tùy chọn trên tab này không được lộ diện trong Access Rule wizard:

• Inspect content downloaded from web servers to clients – Khi bạn kích hoạt tùy chọn này, tất cả các nội dung được download từ các máy chủ web sẽ được thanh tra malware bằng Microsoft AV engine đã được sử dụng bởi tường lửa TMG.
• Force full content requests (remove HTTP Range header) – Buộc tường lửa phải yêu cầu nội dung hoàn chỉnh để nó có thể được đánh giá một cách toàn bộ. Nếu chỉ đánh giá một dải nào đó, các mối nguy hiểm tiềm tàng có thể bị bỏ sót.
• Use rule specific settings for malware inspection – Bạn có thể tùy biến các thiết lập chống malware cho rule khi chọn tùy chọn này. Nếu chọn tùy chọn này, bạn cần kích nút Rule Settings để hoàn tất cấu hình tùy biến của mình.

Hình 14

Trong trang Edit Rule Malware Inspection Settings, bạn có một số tùy chọn. Hình dưới thể hiện các thiết lập mặc định:

• Attempt to clean the infected files – Khi thiết lập này được kích hoạt, tường lửa TMG sẽ cố gắng làm sạch file trước khi chuyển tiếp nó đến người dùng. Nếu file không thể làm sạch, nó sẽ xóa file.
• Block files with low and medium severity threats (higher level threats are blocked automatically) – Tường lửa TMG mặc định sẽ không khóa các file ở mức nguy hiểm thông thường và thấp, bằng hệ thống phân loại của Microsoft AM engine.
• Block suspicious files – Tường lửa TMG sử dụng phương pháp suy nghiệm để xác định xem một file nào đó có phải là malware hay không. Khi tùy chọn này được chọn, file sẽ bị khóa nếu phương pháp suy nghiệm xác định file có thể là malware.
• Block corrupted files – Khi tùy chọn này được kích hoạt, các file được xác định là lỗi sẽ bị khóa.
• Block files that cannot be scanned – Khi tùy chọn này được kích hoạt, nếu Microsoft AV engine không thể quét file, file đó sẽ bị khóa.
• Block encrypted files – Nếu file được mã hóa, Microsoft AV engine sẽ không thể đánh giá file và vì vậy, khi tùy chọn này được kích hoạt, nó sẽ khóa file.
• Block files if scanning time exceeds (seconds) – Khi tùy chọn này được kích hoạt, nó sẽ hạn chế thời gian Microsoft AV engine có thể đánh giá một file trước khi quyết định chuyển tiếp hoặc khóa nó. Giá trị mặc định là 5 phút.
• Block files if archive level depth exceeds - Khi tùy chọn này được kích hoạt, AV engine sẽ khóa các file vượt quá thiết lập về độ sâu lưu trữ ở đây. Giá trị mặc định là 20 mức.
• Block files larger than (MB) - Khi tùy chọn này được kích hoạt, nó sẽ khóa các file lớn hơn giá trị được liệt trong hộp văn bản, với giá trị mặc định là 1000MB (1GB). Tùy chọn này có thể được sử dụng để cải thiện hiệu suất trên tường lửa TMG, tuy nhiên bạn cần phải cần thận nếu không sẽ khóa các file mà người dùng cần vì khá nhiều người dùng thường làm việc với các file có dung lượng lớn.
• Block archive files if unpacked content is large than (MB) – Tùy chọn này thiết lập kích thước lớn nhất của một file được giải nén. Giá trị này được sử dụng để dự trữ bộ nhớ trong tường lửa TMG.

Hình 15

Kết luận

Trong bài này, chúng tôi đã giới thiệu cho các bạn các chi tiết về Access Rules. Hầu hết trong số các tùy chọn mà bạn muốn cấu hình đều đã lộ diện trong Access Rule Wizard, tuy nhiên vẫn có một số tùy chọn quan trọng khác chỉ có thể truy cập sau khi bạn đã tạo rule, bằng cách truy cập vào hộp thoại Properties của rule. Chúng tôi hy vọng loạt bài gồm có hai phần này sẽ giúp ích được cho các bạn, nhất là những người mới làm quen với tường lửa TMG và các thông tin này sẽ giúp các bạn tạo các chính sách truy cập gửi ra phù hợp với tổ chức mình.

Văn Linh (Theo Isaserver)

Điều khiển truy cập Internet: Giới thiệu về TMG Access Rule – Phần 1

Trong loạt bài này chúng tôi sẽ giới thiệu cho các bạn về một số vấn đề cơ bản của Access Rules đối với việc quản trị TMG firewall mới.

Tường lửa ISA đã có lịch sử phát triển khá lâu, các phiên bản dần được nâng cấp lên nên theo thời gian và tiến trình phát triển.

Năm 2010, phiên bản kế tiếp của tường lửa ISA không chỉ có các tính năng và chức năng mới đáng chú ý, nó còn mang một cái tên mới – tên ISA đã được thay bằng TMG - Threat Management Gateway 2010. Đây là một thay đổi lớn về mặt quan điểm và là một tín hiệu tốt về tính hiệu quả trong tiến trình phát triển bảo mật của Microsoft, Microsoft đã hoàn toàn thay đổi cách tạo phần mềm và tập trung vào vấn đề bảo mật trong mọi giai đoạn phát triển.

Thách thức đối với các thiết lập tường lửa TMG mới là học những vấn đề cơ bản. Chúng ta đã trải qua hàng thập kỷ làm việc với ISA và hầu hết trong mọi quản trị viên đều hiểu rất sâu về các chi tiết kỹ thuật cũng như các kịch bản triển khai phức tạp của nó. Tuy nhiên có rất nhiều người gặp phải vấn đề khi truy cập cũng như cách làm việc của tường lửa TMG. Rất nhiều quản trị viên TMG mới đã tập trung vào tìm hiểu cách điều khiển truy cập gửi vào (cho ví dụ, để điều khiển sự truy cập đến Exchange và SharePoint). Và lúc này họ muốn biết cách điều khiển truy cập các kết nối gửi ra. Đó là lý do mà chúng tôi giới thiệu cho các bạn bài viết này, bài viết sẽ tập trung vào các những vẫn đề cơ bản của Access Rules.

Tìm hiểu về Access Rules

Access Rule được sử dụng để điều khiển truy cập gửi ra từ một mạng được bảo vệ bởi tường lửa TMG. Khi bạn muốn cho phép một máy tính nằm phía sau sự kiểm soát của tường lửa TMG truy cập một mạng khác (gồm có Internet), bạn cần tạo một Access Rule (luật truy cập) để cho phép kết nối đó. Mặc định, không có Access Rule nào cho phép các kết nối qua tường lửa, vì vậy mặc định tường lửa TMG là một bức tường gạch vững chắc bảo vệ cho mạng. Trạng thái đóng cửa mặc định này là một cấu hình an toàn, tuy nhiên nó cũng có nghĩa nếu bạn muốn cho phép lưu lượng qua tường lửa TMG, bạn cần phải hiểu cách Access Rule làm việc và cách tạo chúng như thế nào.

Tạo một Access Rule gửi ra

Để bắt đầu, chúng ta sẽ tạo một Access Rule gửi ra đơn giản cho phép tất cả người dùng có thể truy cập Internet bằng tất cả giao thức. Trong phần tiếp theo của loạt bài này, chúng ta sẽ đi tìm hiểu các vấn đề chi tiết của Access Rules và xem các Access Rules có các vấn đề phụ thuộc gì và cách bạn có thể điều chỉnh các vấn đề phụ thuộc đó.

Chúng ta hãy bắt đầu bằng cách mở giao diện điều khiển tường lửa TMG và kích nút Firewall Policy trong phần panel trái của giao diện, như những gì thể hiện trong hình bên dưới.

Hình 1

Sau khi kích nút Firewall Policy trong panel trái, chúng ta sẽ kích tab Tasks trong panel phải của giao diện. Ở đây bạn sẽ thấy một số tùy chọn, đa số trong chúng có liên quan đến việc tạo các rule tường lửa. Trong ví dụ này, chúng ta sẽ tạo một rule truy cập để cho phép truy cập gửi ra qua tường lửa. Kích liên kết Create Access Rule để khởi chạy Access Rule wizard, như hiển thị trong hình bên dưới.

Hình 2

Trong trang Welcome to the New Access Rule Wizard, đặt tên trong hộp văn bản Access Rule name. Nói chung, bạn nên đặt một tên có ý nghĩa cho Access Rule của mình để có thể quét chính sách tường lửa và biết rule làm gì, đặc biệt là biết mục đích được mục đích của rule. Trong ví dụ này, chúng tôi sẽ đặt tên rule là All Open 1. Trong môi trường sản xuất, bạn sẽ không muốn tạo một rule như vậy vì rule này sẽ cho phép tất cả các máy tính có thể truy cập Internet và chắc chắn không phải những gì bạn muốn có trong môi trường sản xuất.

Hình 3

Trong trang Rule Action, bạn sẽ có các lựa chọn Allow hoặc Deny đối với rule. Lưu ý rằng tùy chọn mặc định là Deny, đây là một tùy chọn tốt về góc độ bảo mật. Chúng ta sẽ thay đổi trạng thái Deny thành Allow trước khi kích Next để biến nó trở thành rule Allow.

Hình 4

Trong trang Protocols, chọn các giao thức mà bạn muốn áp với rule này. Trong hộp sổ xuống This rule applies to, bạn có các lựa chọn sau:

• All outbound traffic – Sử dụng tùy chọn nếu bạn muốn áp rule này cho tất cả các giao thức.
• Selected protocols – Sử dụng tùy chọn này để chọn một số giao thức nào đó mà bạn muốn áp cho rule này. Đây là tùy chọn chắc chắn hầu hết trong số các bạn sẽ cần đến.
• All outbound traffic except selected – Tùy chọn này cho phép bạn cho phép hoặc từ chối tất cả các giao thức ngoại trừ một số giao thức nào đó mà bạn chọn ra.

Hình 5

Nếu chọn tùy chọn thứ hai hoặc thứ ba, bạn có thể kích nút Add để chọn các giao thức mà bạn muốn áp rule này cho chúng. Sau khi kích nút Add, bạn sẽ thấy hộp thoại Add Protocols xuất hiện. Khi kích vào một thư mục nào đó nằm trong hộp thoại này, thư mục sẽ được mở và hiển thị cho bạn một danh sách các giao thức. Nhóm phát triển tường lửa TMG đã tạo sự dễ dàng trong sử dụng bằng cách tách biệt các giao thức theo các nhóm để bạn dễ dàng hơn trong việc tìm các giao thức mà mình quan tâm. Kích đúp vào các giao thức mà bạn muốn cho phép, chúng sẽ xuất hiện trên trang Protocols trong danh sách Protocols.

Hình 6

Một tùy chọn khách bạn có trong trang này sẽ được lộ diện khi bạn kích nút Source Ports. Thao tác của bạn sẽ làm xuất hiện hộp thoại Source Ports. Ở đây bạn có thể điều khiển các cổng nguồn được phép cho các kết nối tương xứng với rule này. Mặc định Allow traffic from any allowed source port được chọn, tuy nhiên nếu bạn muốn khóa các cổng nguồn, bạn có thể chọn Limit access to traffic from this range of source ports và sau đó nhập các giá trị vào trong các trường From và To để chỉ rõ các cổng nguồn này.

Hình 7

Chúng ta sẽ không chọn bất cứ cổng nguồn nào lúc này mà sẽ chọn tùy chọn All outbound traffic và sau đó kích Next.

Trang tiếp theo là Access Rule Sources. Ở đây bạn sẽ chọn vị trí của các máy tính nằm phía sau tường lửa TMG mà bạn muốn áp với rule này. Kích nút Add khi đó bạn sẽ thấy hộp thoại Add Network Entities. Kích thư mục có chứa thành phần mạng hiện diện vị trí nguồn của các máy tính mà bạn muốn áp với rule này. Trong ví dụ này, chúng ta sẽ cấu hình rule này áp với tất cả các máy tính nằm trên mạng bên trong mặc định bằng cách kích thư mục Networks và sau đó kích đúp vào mạng Internal.

Hình 8

Sau khi chọn Network nguồn là Internal Network và kích Next, bạn sẽ thấy trang kế tiếp, đây là trang Access Rule Destinations. Ở đây bạn thiết lập các đích đến mà bạn muốn các máy tính từ nguồn đã chọn trước có thể truy cập qua rule này. Trang Access Rule Destinations làm việc giống như trang trước, nơi bạn kích nút Add và sau đó trong hộp thoại Add Network Entities, kích thư mục, tiếp nữa là kích đúp vào thành phần mạng muốn cho phép truy cạp bằng rule này. Trong ví dụ này, chúng ta sẽ chọn mạng External mặc định.

Hình 9

Trang tiếp theo của wizard là User Sets. Trong trang này, bạn chỉ định người dùng mà mình muốn áp với rule này. Mặc định, Access Rules được áp cho tất cả người dùng. Còn lúc này, định nghĩa “all users” của bạn có thể không giống như định nghĩa “all users” của tường lửa TMG. “All users” không có nghĩa rule của bạn sẽ áp với tất cả các tài khoản trong tổ chức của bạn mà “All users” từ phối cảnh của tường lửa TMG có nghĩa tất cả người dùng nặc danh – các kết nối không được nhận thực. Nếu kích nút Add, bạn có thể chọn người dùng khác, chẳng hạn như All Authenticated Users hoặc System and Network Service. Cũng có thể tạo các tập người dùng tùy biến dựa trên Active Directory và các tài khoản RADIUS. Tuy nhiên chúng ta sẽ đề cập thêm về các tùy chọn này trong phần tiếp theo. Trong ví dụ này, chúng ta sẽ chọn tùy chọn All Users và kích Next để chuyển sang trang khác.

Hình 10

Trang cuối cùng của wizard là Completing the New Access Rule Wizard. Đây là trang cho phép bạn xem lại các thiết lập của mình và sau đó kích Finish.

Hình 11

Sau khi rule đã được tạo, nó sẽ vẫn chưa có hiệu lực cho tới khi bạn kích nút Apply ở phía trên của panel ở giữa trong TMG firewall console. Chúng ta sẽ kích nút Apply này ngay bây giờ.

Hình 12

Các tùy chọn khác

Sau khi kích nút Apply, hộp thoại Configuration Change Description sẽ xuất hiện. Ở đây bạn có thể thêm vào phần mô tả cho những thay đổi mà bạn đã thực hiện đối với chính sách tường lửa và phần mô tả này sẽ xuất hiện trong bản ghi về sự thay đổi. Bản ghi về sự thay đổi rất hữu dụng khi bạn cần kiểm tra lại và tìm ra những gì bạn hoặc ai đó đã thực hiện đối với chính sách tường lửa trong trường hợp gặp vấn đề gì đó không như mong đợi.

Lưu ý rằng bạn có một tùy chọn để backup chính sách tường lửa bằng cách kích Export. Thao tác này cho phép bạn backup cấu hình để có thể khôi phục trở về thời điểm trước khi thực hiện thay đổi. Bạn cũng có tùy chọn không hiển thị nhắc nhở này trong tương lai, tuy nhiên chúng tôi không khuyến kích bạn chọn tùy chọn này vì đây là hộp thoại rất hữu dụng cho bạn trong tương lai. Lúc này chúng ta hãy kích Apply.

Hình 13

Hộp thoại Saving Configuration Changes xuất hiện và cho bạn biết rằng các thiết lập chính sách tường lửa đã được lưu vào kho lưu trữ cấu hình. Lưu ý dòng chữ “Existing client connections will be reevaluated according to the new configuration. Client connections not matching the newly enforced policy will be dropped” có nghĩa “Các kết nối máy khách đang tồn tại sẽ bị định giá lại theo cấu hình mới. Các kết nối máy khách không tương ứng với chính sách mới sẽ bị chặn”. Đây là một tính năng mới trong tường lửa TMG. Với tường lửa ISA, chính sách tường lửa mới chỉ được áp dụng cho các kết nối mới, không áp dụng cho các kết nối đang tồn tại. Đây là một cải thiện tuyệt vời và là một trong những lý do bạn nên nâng cấp lên phiên bản mới nhất của tường lửa ISA – mang tên TMG.

Hình 14

Rule mới này xuất hiện trong danh sách chính sách của tường lửa, như những gì bạn có thể thấy trong hình bên dưới. Vị trí trên danh sách phụ thuộc vào nơi bạn đã kích khi bắt đầu wizard. Mặc dù vậy, như những gì chúng tôi sẽ giới thiệu cho các bạn trong phần tiếp theo, bạn có thể đẩy rule này lên trên hoặc xuống dưới trong danh sách.

Hình 15

Kết luận

Trong bài này, chúng tôi đã giới thiệu cho các bạn một số vấn đề cơ bản về Access Rules của tường lửa TMG. Như những gì các bạn thấy, Access Rules được sử dụng để điều khiển lưu lượng gửi ra từ mạng được bảo vệ TMG đến các mạng khác. Mặc định, không có Access Rules và không có lưu lượng nào có thể qua tường lửa TMG. Một Access Rule cần phải được thiết lập để cho phép lưu lượng gửi ra. Access Rules cho phép bạn có thể điều khiển lưu lượng, dựa trên một số các hệ số, chẳng hạn như vị trí nguồn, vị trí đích, người dùng, các giao thức sẽ được sử dụng. Ngoài ra còn có nhiều tùy chọn khác chưa được lộ diện trong Access Rule wizard, và chúng tôi sẽ giới thiệu cho các bạn các tùy chọn này trong phần tiếp theo.

>> Điều khiển truy cập Internet: Giới thiệu về TMG Access Rule – Phần 2

Văn Linh (Theo Isaserver)