Windows tạo tính năng Chặn Font không tin cậy (Blocking Untrusted Fonts) giúp doanh nghiệp bảo vệ khỏi kẻ tấn công. File font không tin cậy và do kẻ tấn công kiểm soát có thể gây hại cho hệ thống. Tính năng này bật cài đặt toàn cục ngăn nhân viên tải font không tin cậy được xử lý bằng Giao diện Thiết bị Đồ họa (GDI) lên mạng. Trong bài này, chúng tôi chỉ cách chặn font không tin cậy trên Windows 10.
Chặn Font không tin cậy
Chặn font không tin cậy đôi khi là ý tưởng tốt cho doanh nghiệp giữ an toàn hệ thống. Tuy nhiên, cũng có thể gây vấn đề khả dụng cho một số người dùng. Đây là cài đặt toàn cục ngăn tất cả chương trình tải font không tin cậy. Internet Explorer sẽ gặp vấn đề về cài đặt này, nhưng trình duyệt khác ổn. Font không tin cậy là font cài đặt bên ngoài thư mục font mặc định (%windir%\Fonts).
Có ba chế độ: Bật (On), Tắt (Off), và Kiểm toán (Audit). Mặc định là "Tắt" và không font nào bị chặn. Đặt "Bật" sẽ chặn hoàn toàn font không tin cậy. Nếu không chắc chắn triển khai cho toàn công ty, chạy ở chế độ "Kiểm toán" để xem bật có gây vấn đề khả dụng/tương thích không. Bạn cũng có thể cài font thủ công vào thư mục font mặc định khi cài đặt này bật.
Phương pháp 1: Chặn Font không tin cậy qua Local Group Policy Editor
Cách tốt và mặc định là dùng Local Group Policy Editor. Cài đặt đã có sẵn, người dùng chỉ chỉnh sửa. Ba chế độ có sẵn dạng danh sách.
Người dùng Windows 10 Home edition không có Local Group Policy Editor, bỏ qua phương pháp 2.
Nếu có Local Group Policy Editor, làm theo bước dưới:
- Nhấn Windows + R mở Run. Gõ "gpedit.msc" và nhấn Enter mở Local Group Policy Editor.
Lưu ý: Chọn Có cho nhắc UAC. - Trong khung trái Local Group Policy Editor, điều hướng:
Computer Configuration\Administrative Templates\System\Mitigation Options
- Nhấp đúp cài đặt "Chặn Font không tin cậy" (Untrusted Font Blocking). Cửa sổ mới, đổi công tắc Đã bật (Enabled). Nhấn Áp dụng/OK áp dụng.
- Hệ thống sẽ chặn tải font không tin cậy trong chương trình.
Phương pháp 2: Chặn Font không tin cậy qua Registry Editor
Cách khác sửa cài đặt này là dùng Registry Editor. Trong Registry Editor, hầu hết cài đặt không có sẵn. Do đó, người dùng tạo khóa/giá trị thủ công. Cho cài đặt chặn font không tin cậy, có ba dữ liệu giá trị khác nhau:
- Chặn font không tin cậy và ghi log sự kiện: 1000000000000
- Không chặn font không tin cậy: 2000000000000
- Ghi log sự kiện không chặn font không tin cậy: 3000000000000
Làm theo bước dưới sửa cài đặt trong Registry Editor:
- Nhấn Windows và R mở Run. Gõ "regedit" nhấn Enter mở Registry Editor. Chọn Có cho nhắc UAC.
- Điều hướng khung trái Registry Editor:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\MitigationOptions
- Nếu khóa MitigationOptions thiếu, tạo chuột phải Windows NT chọn Mới > Khóa (New > Key). Đặt tên "MitigationOption".
- Trong khóa MitigationOptions, tạo giá trị chuỗi (string value) chuột phải khung bên phải chọn Mới > Giá trị Chuỗi (New > String Value). Đặt tên "MitigationOptions_FontBocking".
- Nhấp đúp giá trị mới, đổi Dữ liệu giá trị (Value data) thành "1000000000000" (12 số 0) để bật.
Lưu ý: Cũng đặt dữ liệu giá trị khác tùy ý muốn. - Chặn font không tin cậy sẽ được bật trên hệ thống.
Bổ sung: Cách xem Nhật ký sự kiện (Event Log)
Nếu chọn chế độ Kiểm toán (Audit) làm cài đặt chặn font không tin cậy. Bạn có thể làm theo bước dưới để xem nhật ký sự kiện chi tiết:
- Mở Run bằng Windows + R. Gõ "eventvwr.exe" nhấn Enter mở Event Viewer (Trình xem sự kiện).
- Điều hướng khung trái Event Viewer:
Application and Service Logs/Microsoft/Windows/Win32k/Operational
- Nhấn vào sự kiện bất kỳ trong danh sách xem chi tiết như hình dưới.