Hỏi đáp về an toàn bảo mật phần cứng máy tính và thiết bị ngoại vi

Bảo mật phần cứng là việc bảo vệ chính các linh kiện và thiết bị gắn vào máy tính, từ chip xử lý, bo mạch, firmware cho tới USB, bàn phím, cáp sạc. Phần lớn người dùng chỉ cần nắm vài nguyên tắc: không cắm thiết bị lạ, cập nhật firmware, bật mã hóa và khóa cấu hình khởi động. Dưới đây là các câu hỏi chúng tôi gặp nhiều nhất, được gom theo từng nhóm để bạn đọc nhanh phần mình quan tâm.

Nhóm câu hỏi về khái niệm cơ bản

Bảo mật phần cứng khác gì bảo mật phần mềm?

Bảo mật phần mềm tập trung vào hệ điều hành, ứng dụng, tài khoản. Bảo mật phần cứng xử lý những rủi ro nằm dưới tầng đó: firmware bị sửa, thiết bị ngoại vi giả mạo, linh kiện bị gắn thêm chip, dữ liệu bị đọc trực tiếp từ bộ nhớ hoặc ổ đĩa. Một máy cài phần mềm diệt virus tốt vẫn có thể bị khai thác nếu ai đó cắm một thiết bị giả bàn phím vào cổng USB, vì máy tính tin tưởng bàn phím theo mặc định.

Người dùng cá nhân có cần quan tâm không?

Có, ở mức vừa phải. Bạn không cần lo về những kiểu tấn công đòi hỏi phòng thí nghiệm, nhưng nên đề phòng những rủi ro phổ biến: USB nhặt được, cáp sạc không rõ nguồn gốc, trạm sạc công cộng, laptop bị mất khi chưa mã hóa. Đây đều là tình huống đời thường.

Firmware là gì và vì sao quan trọng?

Firmware là phần mềm nằm sẵn trong thiết bị, chạy trước cả hệ điều hành: UEFI/BIOS của bo mạch, firmware của ổ SSD, của bộ điều khiển USB, của bàn phím. Nếu firmware bị thay thế bằng bản độc hại, việc cài lại Windows có thể không giải quyết được vấn đề. Đó là lý do nên cập nhật firmware từ trang chính thức của hãng và bật Secure Boot.

Nhóm câu hỏi về USB và thiết bị ngoại vi

Một chiếc USB có thể gây hại theo những cách nào?

Có ba nhóm chính. Thứ nhất, USB chứa tệp độc hại chờ người dùng mở. Thứ hai, USB có firmware bị sửa để giả làm bàn phím và tự gõ lệnh, thường gọi là BadUSB; xem phân tích chi tiết về thiết bị BadUSB giả mạo bàn phím. Thứ ba, thiết bị cố ý gây hư hỏng điện, phóng điện áp cao vào cổng USB. Nhóm thứ nhất phổ biến nhất, nhóm thứ hai nguy hiểm vì phần mềm diệt virus khó phát hiện.

Chuột, bàn phím không dây có an toàn không?

Phần lớn bàn phím không dây đời mới mã hóa tín hiệu, nhưng một số mẫu giá rẻ hoặc đời cũ từng bị phát hiện lỗ hổng cho phép nghe lén hoặc chèn phím từ khoảng cách gần. Lời khuyên thực tế: mua sản phẩm của hãng có cập nhật firmware, ưu tiên kết nối Bluetooth chuẩn mới hoặc bộ thu có hỗ trợ cập nhật, và dùng bàn phím có dây cho máy xử lý dữ liệu đặc biệt nhạy cảm.

Cáp sạc có thể chứa mã độc không?

Một sợi cáp trông bình thường có thể được gắn chip nhỏ bên trong đầu cắm, hoạt động như thiết bị giao tiếp dữ liệu. Những loại cáp này chủ yếu dùng trong kiểm thử bảo mật, nhưng nguyên tắc chung vẫn là dùng cáp chính hãng và cảnh giác với cáp được tặng không rõ nguồn gốc. Bài về tấn công trung gian qua cáp sạc USB giải thích kỹ hơn.

Có nên dùng trạm sạc USB ở sân bay, quán cà phê?

Nếu có thể, hãy cắm củ sạc của bạn vào ổ điện thay vì cắm cáp vào cổng USB công cộng. Khi buộc phải dùng, đừng bấm "Tin cậy" hay "Cho phép truyền dữ liệu" nếu điện thoại hỏi. Bộ chặn dữ liệu USB (chỉ cho dòng điện đi qua) là phụ kiện rẻ và hữu ích cho người hay di chuyển.

Nhóm câu hỏi về chip bảo mật và mã hóa

TPM là gì, máy tôi có không?

TPM (Trusted Platform Module) là chip hoặc vùng chức năng trong vi xử lý dùng để lưu khóa mã hóa và kiểm tra tính toàn vẹn của quá trình khởi động. Windows 11 yêu cầu TPM 2.0. Để kiểm tra, nhấn Windows + R, gõ tpm.msc; nếu cửa sổ hiện trạng thái "The TPM is ready for use" là máy đã có và đang bật.

Mã hóa ổ đĩa có làm chậm máy không?

Với vi xử lý đời mới có tăng tốc phần cứng cho thuật toán AES, mức chậm thường không đáng kể trong sử dụng thông thường. Lợi ích lớn hơn nhiều: nếu laptop bị mất, dữ liệu không đọc được khi tháo ổ ra máy khác.

Lỗ hổng trong chip xử lý có tự vá được không?

Một phần được khắc phục qua cập nhật vi mã (microcode) do hãng chip phát hành, phân phối qua bản cập nhật BIOS hoặc Windows Update. Một phần khác được giảm thiểu ở tầng hệ điều hành. Vì vậy cần cập nhật cả hai.

Nhóm câu hỏi về tình huống thực tế

Tôi lỡ cắm USB lạ vào máy, phải làm gì?

Rút USB ra ngay, ngắt mạng nếu thấy máy có biểu hiện lạ như cửa sổ tự mở hay con trỏ tự di chuyển. Chạy quét toàn bộ bằng phần mềm diệt virus, kiểm tra tác vụ khởi động cùng Windows, và đổi mật khẩu quan trọng từ một thiết bị khác. Nếu là máy công ty, báo bộ phận IT ngay.

Làm sao biết có thiết bị lạ cắm vào máy tính?

Mở Device Manager và xem mục Keyboards, Human Interface Devices, Universal Serial Bus controllers; một bàn phím thứ hai mà bạn không dùng là dấu hiệu đáng ngờ. Với máy chủ và máy văn phòng, kiểm tra trực quan phía sau thùng máy định kỳ để phát hiện thiết bị ghi phím gắn giữa bàn phím và cổng cắm.

Mua laptop cũ thì cần kiểm tra gì về bảo mật?

Cài lại hệ điều hành sạch từ bộ cài chính thức, cập nhật BIOS lên bản mới nhất từ trang hãng, đặt lại mật khẩu BIOS, xóa các khóa Secure Boot tùy chỉnh nếu có và kiểm tra trạng thái TPM. Nếu máy được quản lý bởi doanh nghiệp cũ (có dòng chữ quản lý từ xa khi khởi động), yêu cầu người bán gỡ đăng ký trước khi mua.

Văn phòng nhỏ nên bắt đầu từ đâu?

Ưu tiên theo thứ tự: mã hóa mọi laptop, đặt mật khẩu BIOS, tắt khởi động từ USB, quy định rõ việc dùng USB cá nhân, khóa phòng đặt máy chủ và tủ mạng. Các bước này không tốn nhiều chi phí nhưng xử lý được phần lớn rủi ro vật lý. Với nhu cầu kiểm soát dữ liệu ra vào qua thiết bị lưu trữ, có thể tham khảo thêm cách quản lý an toàn ổ USB và ổ cứng ngoài trong tổ chức.

Danh sách tự kiểm tra nhanh

• Secure Boot đang bật.
• TPM sẵn sàng và ổ hệ thống đã mã hóa.
• BIOS có mật khẩu quản trị, không cho boot từ USB.
• Firmware bo mạch và SSD là bản mới.
• Không có bàn phím hay thiết bị HID lạ trong Device Manager.
• Chỉ dùng cáp sạc và USB có nguồn gốc rõ ràng.

Nếu bạn đánh dấu được cả sáu mục, máy tính của bạn đã vượt qua mức bảo vệ phần cứng cơ bản mà nhiều thiết bị văn phòng vẫn còn thiếu.