Tìm hiểu về bản chất UAC của Windows và tại sao chúng ta không nên tắt bỏ tính năng này

Lần đầu tiên Windows Vista được công bố, tính năng User Account Control (UAC) gần như ngay lập tức đã nhận được sự phản đối khá mạnh từ phía cộng đồng người sử dụng.

Theo nhận định từ phía các chuyên gia bảo mật thì đây là 1 phương án bảo mật khá tốt, nhưng phần lớn người sử dụng vẫn chọn cách tắt bỏ UAC và đã vô tình để “lộ” những lỗ hổng đang tồn tại trên hệ thống.

Tính năng này đã được cải tiến khá nhiều trên các phiên bản Windows tiếp theo và mặc dù nó làm cho hệ điều hành trở nên an toàn hơn rất nhiều, nhưng một số người dùng vẫn muốn vô hiệu hóa UAC.

Trong bài viết sau đây, Quantrimang.com sẽ đi sâu vào những chi tiết cụ thể UAC là gì, cơ chế hoạt động của UAC và những lợi ích khi kích hoạt tính năng này trong bất kỳ phiên bản Windows nào.

User Account Control (UAC) là gì?

UAC, viết tắt của User Account Control, là một tính năng bảo mật của Windows giúp ngăn chặn các thay đổi trái phép đối với hệ điều hành. Những thay đổi này có thể được bắt đầu bởi các ứng dụng, người dùng, virus hoặc các dạng phần mềm độc hại khác.

User Account Control đảm bảo một số thay đổi nhất định chỉ được thực hiện với sự chấp thuận từ admin. Nếu các thay đổi không được quản trị viên chấp thuận, chúng sẽ không được thực thi và Windows vẫn không thay đổi, như thể không có gì xảy ra. UAC lần đầu tiên được cung cấp cho Windows Vista và kể từ đó, nó đã được cải thiện với mỗi phiên bản Windows mới.

Lời nhắc User Account Control (UAC) trông như thế nào? Nó chia sẻ và yêu cầu những gì?

Khi bấm đúp vào file, cài đặt hoặc ứng dụng sắp thực hiện các thay đổi quan trọng đối với Windows, bạn sẽ thấy dấu nhắc User Account Control (UAC). Nếu tài khoản người dùng của bạn là admin, lời nhắc sẽ giống như trong ảnh chụp màn hình bên dưới. Ở đó bạn có thể thấy lời nhắc UAC trong Windows 10 (trên cùng), trong Windows 7 (giữa) và Windows 8.1 (dưới cùng).

Lời nhắc UAC hiển thị tên của chương trình sắp thực hiện thay đổi hệ thống cần có sự chấp thuận của admin, nhà xuất bản của chương trình đó và nguồn gốc file (nếu bạn đang cố chạy file). Tất cả những gì nó cần từ admin là nhấp hoặc nhấn vào Yes, để cho phép chương trình hoặc file thực hiện các thay đổi mà nó muốn.

Nếu tài khoản người dùng của bạn không phải là admin, lời nhắc sẽ khác. Ví dụ, trong Windows 10, lời nhắc UAC yêu cầu mã PIN (nếu đã được thiết lập) hoặc mật khẩu admin.

Trong Windows 7 và Windows 8.1, lời nhắc UAC luôn yêu cầu mật khẩu admin, như hiển thị bên dưới.

Khi điều này xảy ra, bạn cần nhập mã PIN hoặc mật khẩu admin và bấm Yes. Trừ khi cả hai hành động được thực hiện, nếu không những thay đổi đã yêu cầu sẽ không được thực hiện.

Lời nhắc UAC cũng có một liên kết với nội dung "Show more details" (trong Windows 10) hoặc "Show details" (trong Windows 7 và Windows 8.1). Nếu nhấp vào nó, bạn sẽ thấy thêm thông tin bao gồm vị trí chính xác trên ổ đĩa của chương trình hoặc file và chứng chỉ của nhà xuất bản, cho bạn biết thêm thông tin về người đã tạo ra những gì bạn muốn chạy.

Làm cách nào để biết rằng một file hoặc cài đặt sẽ kích hoạt lời nhắc UAC?

Các file kích hoạt lời nhắc UAC khi chạy có biểu tượng UAC ở góc dưới bên phải biểu tượng file của chúng, tương tự như ảnh chụp màn hình bên dưới.

Các ứng dụng và cài đặt hệ thống kích hoạt lời nhắc UAC cũng có biểu tượng UAC gần tên hoặc trong biểu tượng của chúng. Bạn có thể thấy một số ví dụ được highlight bên dưới, được bắt gặp trong Control Panel.

Hãy nhớ biểu tượng UAC và mỗi lần bạn nhìn thấy nó, bạn sẽ biết trước rằng bạn sắp cần sự chấp thuận của admin.

User Account Control (UAC) hoạt động như thế nào?

Trong Windows, các ứng dụng chạy theo mặc định mà không có bất kỳ quyền admin nào. Chúng có cùng quyền mà tài khoản người dùng tiêu chuẩn có: Chúng không thể thực hiện bất kỳ thay đổi nào đối với hệ điều hành, file hệ thống hoặc cài đặt registry. Ngoài ra, chúng không thể thay đổi bất cứ điều gì thuộc sở hữu của các tài khoản người dùng khác. Các ứng dụng chỉ có thể thay đổi những file và cài đặt registry của chúng hoặc các file và cài đặt registry của người dùng.

Khi một ứng dụng muốn thực hiện thay đổi hệ thống như: Những thay đổi ảnh hưởng đến các tài khoản người dùng khác, sửa đổi file và thư mục hệ thống Windows, cài đặt phần mềm mới, lời nhắc UAC sẽ được hiển thị, yêu cầu sự cho phép. Nếu người dùng nhấp vào No, thay đổi sẽ không được thực hiện. Nếu người dùng nhấp vào Yes (và nhập mật khẩu quản trị viên, nếu được yêu cầu), ứng dụng sẽ nhận được quyền quản trị và nó có thể làm cho hệ thống thay đổi theo ý muốn. Các quyền này chỉ được cung cấp cho đến khi ứng dụng ngừng chạy hoặc bị người dùng đóng. Điều tương tự cũng xảy ra với các file kích hoạt lời nhắc UAC.

Để dễ hiểu hơn, thuật toán UAC được giải thích trong sơ đồ bên dưới.

Những thay đổi nào yêu cầu quyền Administrator

Về cơ bản, có khá nhiều sự thay đổi cần tới quyền Administrator để thực hiện, 1 mặt khác chúng cũng phụ thuộc vào việc UAC được điều chỉnh như thế nào. Cụ thể, những thay đổi chúng ta đang nhắc đến bao gồm:

• Kích hoạt 1 chương trình nào đó
• Thay đổi thiết lập của hệ thống, hoặc với các file trong thư mục Windows & Program Files
• Cài đặt, gỡ bỏ driver hoặc phần mềm
• Xóa bớt hoặc thêm tài khoản người sử dụng
• Xem hoặc thay đổi các thư mục và file của người dùng khác
• Cấu hình Windows Update
• Thay đổi cài đặt sang Windows Firewall
• Thay đổi cài đặt UAC
• Thay đổi loại tài khoản của người dùng
• Chạy Task Scheduler
• Khôi phục các file hệ thống đã sao lưu
• Thay đổi ngày giờ hệ thống
• Cấu hình tính năng Parental Controls hoặc Family Safety
• Cài đặt tính năng kiểm soát ActiveX (trong Internet Explorer)

Sự khác biệt giữa các mức UAC như thế nào?

Không giống với tùy chọn UAC trong Windows Vista, vốn chỉ có 2 mức: On và Off, người sử dụng sẽ có thêm 4 mức trong các phiên bản Windows tiếp theo. Cụ thể như sau:

• Always notify: Đây là mức cao nhất trong số 4 tùy chọn, tất cả những gì người sử dụng muốn thực hiện thì đều phải chấp nhận yêu cầu từ phía hệ thống (hình bên dưới). Đây có thể coi là phương án bảo mật tốt nhất, nhưng cũng đồng thời gây ra nhiều sự khó chịu nhất.
• Notify me only when programs try to make changes to my computer: Đây là mức lựa chọn mặc định của hệ thống, và sẽ chỉ hiển thị thông báo tới người sử dụng khi có bất cứ chương trình nào yêu cầu quyền tài khoản để được kích họat trong hệ thống. Lựa chọn này ít gây phiền toái cho người dùng vì không phải lúc nào cũng hiển thị thông báo như lựa chọn đầu tiên, trừ khi có những yêu cầu đặc biệt có liên quan tới file hệ thống. Khi hộp thoại UAC này hiển thị, các bạn phải chọn Yes hoặc No để tiếp tục. Bên cạnh đó, cách thức này ít hiệu quả bảo mật vì những chương trình độc hại hoàn toàn có thể mô phỏng lại chính xác những hoạt động của bàn phím và chuột, sau đó trực tiếp can thiệp vào chính UAC theo cách này.
• Notify me only when programs try to make changes to my computer (do not dim my desktop): Lựa chọn này không khác mấy so với mức trên, ngoại trừ khi bảng thông báo UAC hiển thị, màn hình Desktop sẽ không bị mờ đi và bạn vẫn có thể thực hiện được thao tác khác. Khi chọn cách này, người dùng sẽ không cảm thấy khó chịu, đồng thời cũng là cách dễ dàng để các loại mã độc xâm nhập vào hệ thống.
• Never notify: Ở mức lựa chọn này, UAC sẽ không hoạt động, đi kèm với đó là hệ thống của bạn đã mất đi 1 lớp bảo vệ khá hiệu quả. Người sử dụng chỉ chọn mức này khi họ sở hữu 1 hệ thống an ninh, bảo mật thực sự an toàn.

Có nên tắt bỏ UAC khi cài đặt chương trình và kích hoạt trở lại sau đó?

Khó chịu lớn nhất đối với người dùng là khi họ cài đặt Windows và các ứng dụng desktop được sử dụng nhiều nhất. Trong quy trình này, rất nhiều lời nhắc UAC được hiển thị và bạn có thể tạm thời vô hiệu hóa nó, trong khi cài đặt tất cả các ứng dụng và bật lại khi hoàn thành.

Trong một số tình huống, đây có thể là một ý tưởng tồi. Các ứng dụng desktop thực hiện nhiều thay đổi hệ thống có thể không hoạt động nếu bật UAC, sau khi cài đặt chúng. Tuy nhiên, chúng sẽ hoạt động đúng cách nếu bạn cài đặt chúng khi bật UAC.

Khi tắt UAC, các kỹ thuật ảo hóa được UAC sử dụng cho tất cả các ứng dụng không hoạt động. Điều này khiến các cài đặt và file người dùng nhất định được cài đặt ở một nơi khác. Chúng sẽ không hoạt động khi bật lại UAC. Để tránh những vấn đề như vậy, tốt hơn là nên bật User Account Control (UAC) mọi lúc.