Khi bạn cố gắng chạy file exe, msi, bat, cmd hoặc các loại file thực thi khác từ ổ đĩa cục bộ hoặc thư mục mạng trong Windows, bạn có thể thấy cảnh báo này: "Open file — Security Warning". Để chạy chương trình, người dùng phải xác nhận thủ công việc chạy file bằng cách click nút Run. Cảnh báo bảo mật Windows này thường xuất hiện khi bạn chạy file ứng dụng tải từ Internet, hoặc file thực thi nằm trên thư mục chia sẻ mạng hoặc ổ đĩa mạng đã map.
Cảnh báo bảo mật Windows khi chạy file thực thi hoặc script
Hành vi Windows như vậy được thiết kế để bảo vệ máy tính của bạn khỏi việc chạy file thực thi có nguy hiểm tiềm ẩn đã được tải từ Internet hoặc nhận từ các nguồn không tin cậy. Cảnh báo bảo mật này xuất hiện trên tất cả phiên bản Windows (kể cả Windows 10, 8.1, và 7).
Nếu bạn cài đặt hoặc chạy chương trình trên máy tính của người dùng ở chế độ nền (qua scheduled tasks, Group Policy logon scripts, script SCCM, v.v.), điều này có thể gây ra vấn đề. Thực tế là trong các trường hợp như vậy, cửa sổ cảnh báo bảo mật không xuất hiện trong phiên của người dùng. Vì vậy, việc cài đặt hoặc chạy ứng dụng như vậy ở chế độ batch trở nên không thể.
Ví dụ, khi mở file từ thư mục chia sẻ, cảnh báo bảo mật Windows trông như sau:
Open File — Security Warning The Publisher could not be verified. Are you sure you want to run this software? We can't verify who created this file. Are you sure you want to run this file? This file is in location outside your local network. Files from locations you don't recognize can harm your PC. Only run this file if you trust the location.
Khi chạy file tải từ Internet từ ổ đĩa cục bộ (hoặc share mạng được mount qua net use), văn bản cảnh báo hơi khác:
Open File — Security Warning Do you want to run this file? While files from the Internet can be useful, this file type can potentially harm your computer. Only run software from publishers you trust.
Nếu bạn bỏ chọn tùy chọn "Always ask when opening this file", thì lần sau khi chạy file này, cửa sổ cảnh báo bảo mật Windows sẽ không xuất hiện. Nhưng cách này bạn sẽ phải thêm chương trình vào ngoại lệ thủ công.
Hãy tìm hiểu cách xóa cảnh báo bảo mật khi chạy file thực thi hoặc cài đặt trên Windows (hướng dẫn này áp dụng cho tất cả phiên bản Windows).
Quan trọng. Tắt cửa sổ cảnh báo bảo mật này không được khuyến khích trong hầu hết các trường hợp vì nó làm giảm bảo mật máy tính của bạn.
Chúng tôi cung cấp một số tùy chọn để tắt cảnh báo bảo mật. Chọn phương án phù hợp tùy theo giải pháp cần thiết (trong một số trường hợp bạn sẽ phải kết hợp các giải pháp).
Cách tắt Open File Security Warning cho file tải xuống?
File thực thi tải từ Internet tự động được đánh dấu là có nguy hiểm tiềm ẩn (tải từ nguồn không an toàn). Tính năng này được thực hiện với công nghệ alternative NTFS file streams (Alternate Data Streams – ADS). Để đơn giản, hãy coi đó là một dấu hiệu đặc biệt của file, được gán tự động cho file tải xuống (xem bài viết How does Windows know if a file was downloaded from the Internet). Để xóa dấu hiệu này, bạn cần unblock file này. Để làm điều đó:
- Mở thuộc tính của file thực thi;
- Trên tab General click nút hoặc tick checkbox Unblock. Nếu file đã được tải từ Internet, cảnh báo sau sẽ hiển thị bên cạnh nút (checkbox):
This file came from another computer and might be blocked to help protect this computer. - Lưu thay đổi bằng cách click OK. Sau khi file đã được unblock, nó chạy mà không có cửa sổ cảnh báo (NTFS alternate data streams bị xóa).
Mẹo. Để ngăn việc tự động gán dấu hiệu Zone.Identifier cho file bạn tải từ Internet qua trình duyệt, bạn có thể lưu file tải xuống vào ổ được format FAT32 hoặc exFAT. Alternative NTFS streams không hoạt động trên các hệ thống file này.
Thuộc tính alternative NTFS data stream Zone.Identifier có thể được reset bằng hai lệnh sau (file mới sẽ được tạo):
move oldapp.exe > newapp
type newapp > oldapp.exeHoặc với công cụ Sysinternal's:
streams.exeCũng có thể unblock file bằng PowerShell:
Unblock-File -Path C:\Downloads\somefile.exeBạn có thể tắt cảnh báo này chỉ cho file tải bằng trình duyệt bằng cách tắt cài đặt thuộc tính Zone.Identifier:
- Đối với Google Chrome và IE, bạn cần tạo tham số registry
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments]
"SaveZoneInformation"=dword:00000001 - Đối với Mozilla Firefox: mở trang cài đặt
about:config, và thay đổi giá trịbrowser.download.saveZoneInformationthành false.
Trong Windows, bạn có thể tắt hoàn toàn việc áp dụng zone information cho file tải từ Internet bằng tham số GPO đặc biệt Do not preserve zone information in file attachment (User Configuration -> Administrative Templates -> Windows Components -> Attachment Manager).
Cảnh báo bảo mật khi mở file từ Network Share
Cửa sổ cảnh báo có thể xuất hiện khi chương trình được chạy từ thư mục chia sẻ mạng dùng đường dẫn UNC. Vấn đề này thường xảy ra với user doanh nghiệp khi truy cập tài nguyên trong domain AD khác hoặc bằng địa chỉ IP. Trong trường hợp này, dễ nhất là thêm tên và/hoặc địa chỉ IP của server chứa file thực thi vào Local Intranet zone trong cài đặt Internet Explorer. Điều này sẽ chỉ ra rằng tài nguyên là tin cậy. Để làm điều đó:
- Vào Control Panel → Internet Option;
- Tab Security;
- Mở Local Intranet → Sites → Advanced;
- Trong cửa sổ tiếp theo, thêm tên và/hoặc địa chỉ IP của server. Ví dụ,
\\10.0.0.6,\\srv.contoso.comhoặc\\127.0.0.1\cho máy tính cục bộ. Bạn có thể dùng ký tự đại diện. Ví dụ, bạn có thể thêm tất cả địa chỉ IP mạng cục bộ vào Local Intranet zone bằng dòng sau:file: //192.168.1.*.
Mẹo. Các cài đặt này được lưu trong registry key HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\. Địa chỉ IP tin cậy được chỉ định trong registry key Ranges; tên host và domain – trong Domains.
Cũng có thể thêm địa chỉ IP và tên DNS của domain/host tin cậy vào Local Intranet zone bằng GPO. Mở Local (gpedit.msc) hoặc Domain Group Policy Editor (gpmc.msc). Bật policy Compute Configuration -> Administrative Templates -> Windows Components -> Internet Explorer -> Internet Control Panel -> Security Page -> Site to Zone Assignment List. Trong cài đặt policy, bạn phải chỉ định danh sách host/domain tin cậy theo định dạng sau:
- Tên server (host) (ví dụ,
file://server_name,\\server_name,server_namehoặcIP) - Số zone (1 cho Local Intranet Zone)
Nếu cửa sổ cảnh báo bảo mật xuất hiện khi chạy chương trình từ ổ đĩa mạng đã map, hãy thêm ký tự ổ đĩa (ví dụ, U:\) hoặc đường dẫn UNC vào local Intranet zone.
Lưu thay đổi policy và làm mới cài đặt GPO trên client (gpupdate /force). Cảnh báo sẽ không còn xuất hiện khi mở file thực thi từ thư mục chia sẻ mạng đã chỉ định.
Ngoài ra, bạn có thể bật các cài đặt sau trong phần GPO User Configuration -> Administrative Templates -> Windows Components -> Internet Explorer -> Internet Control Panel -> Security Page. Đây là tùy chọn tốt nhất cho user domain:
- Intranet Sites: Include all local (intranet) sites not listed in other zones
- Intranet Sites: Include all network paths (UNCs)
- Turn on automatic detection of intranet
Cảnh báo Open File Security Warning khi dùng AppData Folder Redirection
Nếu bạn đang dùng AppData folder redirection (trong kịch bản roaming profile), user có thể gặp cửa sổ "Open File – Security Warning" khi chạy shortcut ứng dụng từ thư mục profile.
Trong trường hợp này, bạn cần thêm server (hoặc toàn bộ domain) nơi lưu trữ roaming profile vào IE trusted zone.
Dùng tùy chọn GPO User Configuration -> Policies -> Administrative Templates -> Windows Components -> Internet Explorer -> Internet Control Panel -> Security Page -> Site to Zone Assignment List. Thêm tên server (domain) với giá trị 1.
Tắt Open File Security Warning cho các loại file cụ thể qua GPO
Trong một số trường hợp, việc tắt hoàn toàn cảnh báo bảo mật cho một số loại file (extension) qua Group Policies là hợp lý. Mặc dù, tất nhiên, điều này không an toàn lắm, vì user có thể vô tình chạy cái gì đó độc hại.
Để làm điều đó, trong GPO Editor đi đến: User Configuration -> Administrative Templates -> Windows Components -> Attachment Manager.
- Bật policy Do not preserve zone information in file attachments. Tất cả file tải xuống sẽ chạy không có cảnh báo trên tất cả máy tính.
- Bật policy Inclusion list for low file types, và trong cài đặt của nó chỉ định danh sách extension file bạn cho phép chạy, ví dụ,
.exe; .vbs; .msi. Windows sẽ bỏ qua dấu hiệu alternate data stream trên file có extension này và chạy chúng không có cảnh báo.Lưu ý. Policy này thêm extension file vào tham số registry LowRiskFileTypes:[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations]"LowRiskFileTypes"=".exe;.vbs;.msi;.bat;"
Gợi ý. Local Group Policy Editor (gpedit.msc) bị thiếu trên Windows 10 Home edition. Nhưng có cách giải quyết để cài đặt nó.
Lưu policy, gán nó cho OU đích và áp dụng cho client bằng cách chạy trên chúng lệnh gpupdate /force.
Bây giờ, cảnh báo sẽ không còn xuất hiện khi mở file thực thi với các extension đã chỉ định với bất kỳ thông tin nào trong stream Zone.Identifier. Bạn cũng có thể cho phép Internet Explorer chạy bất kỳ file nào trong thuộc tính Internet Explorer (Security -> Internet -> Custom level -> Miscellaneous -> Launching applications and unsafe files (không an toàn), nhưng rất rủi ro.
Bạn có thể tắt hoàn toàn cửa sổ "Open File – Security Warning" cho file không an toàn bằng tùy chọn GPO Turn off the Security Settings Check feature (nằm trong phần Computer Configuration -> Administrative Templates -> Windows Components -> Internet Explorer).
Hoặc bạn có thể cho phép bất kỳ file nào chạy mà không hiển thị "Open File Security Warning" bằng các lệnh sau:
REG ADD "HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer\Security" /V "DisableSecuritySettingsCheck" /T "REG_DWORD" /D "00000001" /F
REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /V "1806" /T "REG_DWORD" /D "00000000" /F
REG ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /V "1806" /T "REG_DWORD" /D "00000000" /F