Sao lưu

Một quy tắc an toàn cơ bản là trước khi thực hiện các thao tác trên các thành phần của hệ thống thì cần phải tạo dữ liệu sao lưu thích hợp để có thể khôi phục lại trạng thái hoạt động bình thường, nếu có xảy ra những sai sót trong quá trình thực hiện. Giải pháp nâng cao hiệu năng và an toàn được đề xuất ở đây bao gồm thay đổi registry, các dịch vụ và cả những ứng dụng mặc định của Windows 10. Để đảm bảo an toàn cần thực hiện sao lưu trước khi bắt đầu. Hãy sao lưu 3 nhánh lớn của registry (HKLM, HKCU và HKCR) với công cụ reg như sau:

Lấy quyền truy cập đầy đủ vào Registry

Trước hết người dùng cần có quyền truy cập đầy đủ tới registry. Với các phiên bản mới của Windows, đặc biệt là Windows 10 thì đây là một vấn đề không đơn giản. Nhiều người lầm tưởng rằng Administrator là tài khoản có toàn quyền trong máy tính. Tuy nhiên, theo cấu hình mặc định, ngay cả Administrator cũng không thể thay đổi giá trị của các khóa trong một số nhánh registry nhất định, không thể xóa một số file nhất định. Khác với Linux, trong hệ thống Windows có một tài khoản có đặc quyền cao hơn mọi tài khoản trong nhóm Administrators, đó là tài khoản SYSTEM. Theo cấu hình mặc định, SYSTEM có tất cả các quyền, còn nhóm Administrators chỉ có quyền hạn chế, tuy nhiên đó chỉ là cấu hình mặc định. Trong thực tế, Administrator có thể được quyền truy cập tới các đối tượng đó (khóa registry, file, thư mục) bằng cách lấy quyền sở hữu (owner), sau đó cấp cho chính mình các quyền truy cập cần thiết. Dưới đây là cách để thực hiện việc này.

Trước hết, có thể sử dụng công cụ regedit có sẵn trong Windows. Cách này có ưu điểm là sử dụng công cụ có sẵn, không cần cài bổ sung bất kỳ công cụ nào; nhược điểm là phải thao tác trên từng khóa registry thông qua giao diện đồ họa của phần mềm regedit, tức là nếu cần thao tác trên nhiều khóa thì sẽ rất chậm và bất tiện.

Để khắc phục hạn chế của regedit, có thể sử dụng công cụ SubInACL. Đây là công cụ được cung cấp bởi Microsoft và có thể được tải về từ website của hãng này. Mặc dù SubInACL không chính thức hỗ trợ Windows 10, nhưng vẫn có thể được sử dụng cho hệ điều hành này. Sau khi cài đặt xong, hãy đưa đường dẫn tới SubInAcl vào biến môi trường “path” để tiện cho việc sử dụng công cụ này:

Để lấy quyền sở hữu và quyền truy cập đầy đủ đến một khóa registry nào đó, hãy mở cửa sổ Windows PowerShell với quyền quản trị và sử dụng SubInAcl với cú pháp như sau:

Ví dụ, để lấy quyền sở hữu và và toàn quyền truy cập tới khóa của Cortana cho tài khoản “Nguyen Tuan Anh” thì thực hiện như sau:

Trong câu lệnh trên, nếu thay tham số /keyreg bằng /subkeyreg, thì việc thay đổi sẽ có hiệu lực đối với cả tất cả các khóa con bên trong khóa được chỉ ra. Tuy nhiên, không nên lạm dụng điều này. Hãy lưu ý nguyên tắc “đặc quyền tối thiểu” và chỉ lấy quyền đối với những đối tượng muốn can thiệp. Ngoài ra, SubInAcl cũng có thể được sử dụng cho file, thư mục và cây thư mục: thay tham số /keyreg bằng /file, /directory hay /subdirectories tương ứng.

Khi đã có được quyền truy cập tới các đối tượng trong Windows, ta có thể bắt đầu thực hiện “tối ưu hóa” hệ điều hành này.

Vô hiệu hóa Cortana

Đã có nhiều người dùng phản ánh rằng Cortana khiến cho hệ thống của họ bị chậm, trong khi họ không có nhu cầu sử dụng nó. Nhưng do Cortana được tích hợp rất sâu vào Windows 10, nên việc vô hiệu hóa nó không hề đơn giản. Chính xác hơn, Microsoft không cung cấp một cơ chế tiêu chuẩn để vô hiệu hóa Cortana. Tuy nhiên, có thể làm điều đó thông qua việc can thiệp vào registry.

Lưu ý rằng, việc can thiệp vào registry có thể được thực hiện thông qua công cụ regedit. Nhưng khi cần chỉnh sửa nhiều giá trị (và có thể cần lặp lại việc đó nhiều lần, trên nhiều máy tính khác nhau) thì nên tạo một file .BAT để sử dụng. Với các câu lệnh trên được đưa vào file “DisableCortana.bat”, kết quả sẽ như sau:

Trước khi vô hiệu hóa Cortana, nếu nhấp chuột phải vào thanh tác vụ (task bar) thì sẽ thấy tùy chọn để ẩn/hiện cửa sổ Cortana. Sau khi vô hiệu hóa Cortana (và khởi động lại máy), tùy chọn này sẽ không còn nữa, thay vào đó là chức năng Search thông thường của Windows.

Vô hiệu hóa chức năng thu thập dữ liệu

Windows 10 ngay từ phiên bản đầu tiên đã khiến người dùng lo ngại rằng sẽ bị xâm phạm tính riêng tư, bí mật dữ liệu khi nó mặc định kích hoạt tính năng thu thập thông tin về hệ thống của người dùng và gửi về máy chủ của Microsoft. Mặc dù Microsoft khẳng định dữ liệu được thu thập là nặc danh, không bao gồm dữ liệu của người dùng, nhưng người dùng vẫn lo lắng khi có đến hàng gigabyte dữ liệu được gửi đi từ máy của họ. Các dịch vụ liên quan đến tính năng này bao gồm:

- DiagTrack: Connected user experiences and telementry

- diagnosticshub.standardcollector.service: Diagnostics Hub Standard Collector Service

- dmwappushservice: WAP Push Message Routing Service

- DcpSvc: Data Collection Publishing Service

- WerSvc: Windows Error Reporting Service

- PcaSvc: Program Compatibility Assistant Service

- DoSvc: Delivery Optimization service

- WMPNetworkSvc: Windows Media Player Network Sharing Service

Để vô hiệu hóa một dịch vụ trên, có thể sử dụng công cụ net để tắt, sau đó dùng công cụ sc để ngăn dịch vụ đó tự động khởi chạy cùng Windows. Ví dụ, thực hiện với dịch vụ DiagTrack như sau:

Một số người dùng muốn xóa hẳn các dịch vụ trên khỏi máy tính. Điều này có thể được thực hiện với lệnh delete (thay vì config) của công cụ sc. Tuy nhiên, đôi khi một số phần mềm có thể đòi hỏi một số trong các dịch vụ trên hoạt động. Do vậy, không nên xóa các dịch vụ này, mà chỉ nên vô hiệu hóa chúng để khi cần có thể kích hoạt lại. Sau khi tắt các dịch vụ này, tiến hành sửa các khóa registry như sau:

Có thể thấy rằng việc chỉnh sửa các khóa registry như trên bao gồm việc ngăn chặn tính năng báo lỗi và tính năng chia sẻ dữ liệu của các phần mềm khác nhau có trong Windows.

Tắt các dịch vụ không an toàn

Về mặt lý thuyết, bất kỳ dịch vụ nào cũng có thể không an toàn. Nhưng thực tế, một số dịch vụ thường chứa lỗ hổng có thể bị khai thác để tấn công hệ thống bao gồm: RemoteRegistry, TermService, TrkWks, DPS.

Bên cạnh đó, trong Windows 10 có những dịch vụ mà người dùng không bao giờ sử dụng đến, do Windows 10 được phát triển cho nhiều nền tảng khác nhau (máy tính bàn, máy tính bảng, điện thoại và máy chơi game). Nếu sử dụng Windows 10 trên máy tính thì có thể vô hiệu hóa các dịch vụ thu thập thông tin từ cảm biến của thiết bị di động bao gồm: SensorDataService, SensorService, SensrSvc

Và nếu không sử dụng Xbox thì có thể vô hiệu hóa các dịch vụ liên quan đến Xbox bao gồm: XblAuthManager, XblGameSave, XboxNetApiSvc.

Việc vô hiệu hóa các dịch vụ này được thực hiện tương tự như phần trên, tức là dùng net stop để tắt dịch vụ và dùng sc config để ngăn dịch vụ đó được khởi chạy tự động.

Ngoài ra, người dùng cũng có thể xem xét việc vô hiệu hóa dịch vụ hỗ trợ từ xa (Remote Assistant) thông qua registry như sau:

Từ khía cạnh an toàn, người dùng cũng có thể vô hiệu hóa các chia sẻ ẩn Administrative Share thông qua registry như sau:

Tự động xóa paging file

Nếu muốn có sự chắc chắn hơn trong việc chống lộ lọt mật khẩu, hay các thông tin bí mật khác, thì có thể thiết lập để Windows tự động xóa paging file mỗi khi tắt máy hay khởi động lại:

Vô hiệu hóa tính năng autorun đối với các thiết bị lưu trữ di động

Tính năng autorun từ lâu đã bị nhiều mã độc lợi dụng để phát tán vào máy tính. Việc vô hiệu hóa tính năng này sẽ giúp máy tính an toàn hơn:

Xóa lịch sử làm việc

Việc này sẽ giúp người dùng đảm bảo được tính riêng tư, bao gồm các khía cạnh sau:

Tắt tính năng lưu danh sách các file mới được mở:

Tắt tính năng lưu giữ lịch sử các yêu cầu tìm kiếm:

Tắt tính tăng lưu lịch sử các ứng dụng:

Gỡ bỏ các ứng dụng được cài mặc định

Có rất nhiều ứng dụng được cài mặc định theo Windows 10 mà người dùng cảm thấy thừa, do không có nhu cầu sử dụng. Tuy nhiên, không phải ứng dụng nào cũng có thể được gỡ bỏ dễ dàng qua công cụ tiêu chuẩn của Microsoft. Ví dụ điển hình là ứng dụng OneDrive. Để gỡ bỏ ứng dụng này, trước hết cần tắt process của nó, sau đó tiến hành gỡ bỏ:

Nếu sử dụng hệ phiên bản hệ điều hành 32 bit thì cần thay thư mục “SysWow64” bởi thư mục “System32”.

Các ứng dụng khác có thể được gỡ bỏ bằng câu lệnh Remove-AppxPackage (kết hợp với Get-AppxPackage) như sau:

Cần lưu ý, các chú thích sau dấu chấm phẩy được đưa ra nhằm mục đích giải thích một cách ngắn gọn ý nghĩa của câu lệnh, chứ không là một phần trong cú pháp của câu lệnh, do vậy cần bỏ phần chú thích này khi thực thi nếu không sẽ có lỗi. Mặt khác, các câu lệnh trên là lệnh của PowerShell, do đó không thể đưa trực tiếp vào file .BAT để thực thi. Nếu muốn đưa các lệnh này vào file .BAT thì cần gọi chúng như là tham số của trình PowerShell. Cụ thể:

Ngăn chặn cập nhật Windows tự động

Không cho phép Windows tự động cập nhật:

Nhưng vẫn để khả năng cập nhật thủ công:

Vô hiệu hóa các tác vụ thống kê trong trình lập lịch tác vụ

Các tác vụ thu thập dữ liệu thống kê (telemetry tasks) vừa làm giảm hiệu năng của hệ thống, vừa tiềm ẩn nguy cơ để lộ dữ liệu riêng tư của người dùng, do đó có thể vô hiệu hóa chúng. Để vô hiệu hóa một tác vụ ta sử dụng công cụ schtasks và thực hiện qua hai bước. Trước hết, dùng tham số /end để tắt tác vụ. Tiếp đó là dùng tham số /change và /disable để vô hiệu hóa nó.

Ví dụ, để vô hiệu hóa tác vụ có tên “File History (maintenance mode)” trong mục “\Microsoft\Windows\FileHistory”, thực hiện như sau:

Danh sách các tác vụ thu thập dữ liệu thống kê bao gồm:

Ngoài ra, người dùng cũng có thể tự nghiên cứu danh sách tác vụ trong trình lập lịch tác vụ để quyết định hủy bỏ những tác vụ khác nếu cần.

Kết luận

Trên đây là cách thức “tối ưu hóa” Windows 10, để sử dụng thiết bị nhanh hơn và an toàn hơn. Điểm riêng biệt trong cách thức tối ưu hóa là mọi thao tác đều có thể được thực hiện thông qua dòng lệnh, điều đó mang lại nhiều lợi ích đáng kể. Thứ nhất, các lệnh có thể được gộp vào một tập tin .BAT để áp dụng cho nhiều máy khác nhau. Thứ hai, có thể tạo ra các phiên bản khác nhau của tập tin .BAT để sử dụng cho những máy có yêu cầu khác nhau bằng cách bỏ đi (đặt dấu chú thích) những thao tác không mong muốn. Thứ ba, khi người dùng quyết định cập nhật Windows 10, nhiều tham số cấu hình có khả năng được khôi phục lại theo giá trị mặc định của Microsoft, nhiều ứng dụng mặc định có thể được cài lại; khi đó, để thực hiện lại việc “tối ưu hóa” thì chỉ cần thực thi lại tập tin .BAT nói trên.