Một trong những điều kỳ lạ nhất về bảo mật Windows là thực tế rằng một số thay đổi đơn giản trong cách bạn chạy hệ điều hành có thể tạo ra sự khác biệt lớn về mã độc. Ví dụ, ai từng biết rằng chạy Windows 64-bit làm máy tính của bạn an toàn hơn? Hãy nói chuyện này với bất kỳ chuyên gia máy tính tự xưng nào và họ sẽ cười. Tuy nhiên, có một số điều bạn phải hiểu về Windows mà có thể khiến bạn suy nghĩ kỹ trước khi từng chấp nhận phiên bản 32-bit bao giờ nữa.
1: Driver khó lén lút hơn
Đôi khi, mã độc yêu cầu truy cập vào kernel của hệ điều hành. Để làm điều này, nó cố gắng tiêm một driver vào hệ thống của bạn. Nếu bạn không quen với lý do tại sao điều này phải xảy ra, hãy đọc thêm về cách driver hoạt động. Phiên bản 64-bit của Windows yêu cầu ký số driver (driver signing), nghĩa là mọi đoạn mã trong driver phải được Microsoft chứng thực.
Bạn có thể hỏi tại sao phiên bản 32-bit không yêu cầu chữ ký như vậy. Điều này chủ yếu vì các driver cũ không được ký. Các nhà phát triển driver 64-bit nhận thức được yêu cầu và đảm bảo họ ký số sản phẩm của họ. Tất nhiên, driver viết vào cuối những năm 90 không thể tự ký số bằng phép màu. Vì vậy, nếu bạn dùng phiên bản 64-bit của Windows, bạn thực sự sẽ ngăn chặn mã độc truy cập kernel của hệ điều hành mà không có sự biết của bạn. Nhưng còn có những lý do khác khiến Windows 64-bit an toàn hơn!
2: ASLR khiến mã độc không thể tiêm mã vào chương trình khác
Address Space Layout Randomization (ASLR - Ngẫu nhiên hóa bố cục không gian địa chỉ) là phương pháp giữ địa chỉ chương trình trong bộ nhớ không thể đoán trước. Trong Windows 32-bit, một số chương trình bắt đầu ở cùng các địa chỉ bộ nhớ, khiến mã độc dễ dàng lén lút một số mã mà không bị phát hiện. Mặc dù một số người có thể tranh luận rằng các phiên bản Windows mới (Vista, 7, và 8) đưa ASLR vào thực hành trong phiên bản 32-bit của họ, họ không thấy nó hiệu quả như thế nào khi bạn có hệ thống định địa chỉ 64-bit. Không gian địa chỉ càng lớn, bạn càng có thể bảo vệ chương trình hiệu quả hơn.
3: Ngăn chặn thực thi dữ liệu (Data Execution Prevention)
Chắc chắn, cả phiên bản 32-bit và 64-bit của Windows đều có khả năng sử dụng Ngăn chặn thực thi dữ liệu (DEP). Tuy nhiên, với hệ điều hành 64-bit, chương trình không thể chọn không tham gia (opt out). Đối chiếu, DEP thường bị tắt trong hệ thống 32-bit để các chương trình thực thi dữ liệu trong không gian bộ nhớ của chúng không bị ngăn cản. Nhiều nhà phát triển mã độc tận dụng DEP để, ví dụ, thêm một số mã ở cuối không gian bộ nhớ của chương trình mà nó sẽ thực thi. Điều này khiến hệ thống bị nhiễm "kiểu ninja". Nếu bạn không có khả năng từ chối (trong trường hợp Windows 64-bit), bạn sẽ không gặp vấn đề này.
4: Lớp "WoW64"
Bạn có thể đã nhận thấy trong thư mục "Windows" của mình có một thư mục con "System" mới, tên là "SysWOW64". Đây đại diện cho một lớp mới của việc thực thi chương trình cần thiết để chạy trong kernel 64-bit. Mặc dù nó không được thiết kế để bảo vệ bạn, nhưng nó vô tình bảo vệ bạn khỏi các ứng dụng 32-bit chạy ở chế độ kernel. Vì vậy, bất kỳ mã độc 32-bit nào cố gắng chạy trong kernel 64-bit sẽ thất bại. Điều này cũng chính là lý do đằng sau sự không tương thích của một vài ứng dụng 32-bit trong phiên bản 64-bit của Windows. WOW64 là viết tắt của "Windows on Windows 64". Bất kỳ mã độc nào được viết lại để hoạt động trong chế độ kernel 64-bit vẫn có thể lây nhiễm bạn!
Một lời cuối cùng
Mặc dù Windows 64-bit có thể thêm một chút đệm bảo vệ vào áo giáp chống mã độc của bạn, nó không phải là bất khả xâm phạm. Mã độc vẫn sẽ lây nhiễm bạn nếu bạn không có bảo vệ bổ sung đầy đủ. Đây chỉ là các tính năng bảo mật nhỏ ngăn chặn một số dạng scum virus, worm, và mã độc Troy. Nếu mã độc dùng chế độ 32-bit, nhưng không truy cập kernel, thực thi mã ở cuối không gian bộ nhớ của chương trình, hoặc tiêm mã vào chương trình, nó vẫn sẽ lây nhiễm bạn. Hãy để lại bình luận bên dưới nếu bạn muốn mở rộng thêm về chủ đề này!