Dịch vụ CNG (Cryptographic Next Generation) Key Isolation cung cấp cách ly tiến trình khóa cho khóa riêng và một số hoạt động mật mã học liên quan theo yêu cầu của Common Criteria. Đường dẫn mặc định đến file thực thi liên quan đến dịch vụ CNG Key Isolation là C:\ windows \ system32 \ lsass.exe.
Giải thích CNG Key Isolation
Dịch vụ CNG key isolation chạy dưới LocalSystem trong tiến trình chia sẻ (được lưu trữ trong tiến trình LSA). Dịch vụ lưu trữ khóa tồn tại lâu dài để xác thực người dùng trong dịch vụ Winlogon. Ví dụ, dịch vụ CNG Key Isolation sẽ lưu trữ khóa mạng không dây hoặc thông tin mật mã cần thiết cho thẻ thông minh. Tất cả hoạt động do dịch vụ CNG Key Isolation thực hiện đều tuân theo yêu cầu Common Criteria.
Nếu dịch vụ CNG Key Isolation không tải hoặc khởi tạo được, hành vi sẽ được ghi lại trong Event Log. Hầu hết thời gian, dịch vụ không khởi động được vì dịch vụ Remote Procedure Call (RPC) bị dừng buộc hoặc vô hiệu hóa. Nếu dịch vụ CNG Key Isolation bị dừng, Giao thức xác thực mở rộng (EAP) sẽ không khởi động và khởi tạo được khi khởi động.
Như bạn sẽ thấy dưới đây, dịch vụ CNG key isolation chia sẻ file thực thi (lsass.exe) với một số dịch vụ khác.
Lsass.exe là gì?
LSASS là viết tắt của Local Security Authority Subsystem Service. lsass.exe gốc là thành phần phần mềm hợp pháp thuộc môi trường Windows. File thực thi được coi là tiến trình quyền lực cục bộ cốt lõi tích hợp sẵn trong Windows. Vị trí mặc định của lsass.exe là C:\ Windows \ System 32.
Tiến trình Lass.exe xử lý 4 dịch vụ xác thực chính trong Windows:
- KeyIso (CNG Key Isolation) - Dịch vụ xác thực quan trọng nhất được lưu trữ trong tiến trình LSA. Cung cấp cách ly tiến trình khóa cho khóa riêng và các hoạt động mật mã liên quan.
- EFS (Encrypting File System) - Công nghệ mã hóa file cốt lõi chủ yếu dùng để lưu file mã hóa trên ổ NTFS. Dừng dịch vụ này sẽ ngăn hệ thống truy cập file mã hóa.
- SamSS (Security Accounts Manager) - Mục đích chính là đóng vai trò báo hiệu và báo cho các dịch vụ khác khi Security Account Manager (SAM) sẵn sàng nhận yêu cầu. Dừng dịch vụ này sẽ ngăn các dịch vụ phụ thuộc vào SAM được thông báo. Tạo hiệu ứng tuyết rơi khiến nhiều dịch vụ phụ thuộc thất bại hoặc khởi động sai.
- Chính sách IPSEC cục bộ - Quản lý và khởi động ISAKMP/Oakley (IKE) và các driver bảo mật IP trong Windows Server.
Rủi ro bảo mật tiềm ẩn với lsass.exe
Một số người dùng Windows thấy tiến trình Lsass tiêu tốn nhiều tài nguyên và nghi ngờ lsass.exe là virus hoặc mã độc. Mặc dù có thể, nhưng khả năng này rất thấp.
Tuy nhiên, có virus giả mạo đã biết lây nhiễm hệ thống bằng cách ngụy trang thành file thực thi Lsass. Tiến trình tương tự nhưng KHÔNG GIỐNG hệt Local Security Authority Subsystem Service thật. Tiến trình độc hại tên isass.exe (chữ i đầu), khác với tiến trình hợp pháp lsass.exe (chữ L thường). Nếu tiến trình bắt đầu bằng chữ I hoa thay vì L thường, hệ thống có thể đang bị nhiễm.
Bạn có thể xác nhận bằng cách kiểm tra vị trí lsass.exe. Nói chung, nếu file thực thi Lsass nằm trong C:\ Windows \ System 32, bạn có thể yên tâm đó là Local Security Authority Subsystem Service thật. Mở Task Manager (Ctrl + Shift + Esc) > cuộn xuống danh sách Processes đến Local Security Authority Process. Chuột phải > Mở vị trí file. Nếu tiến trình không nằm trong System 32, bạn chắc chắn đang đối mặt với mã độc.
"Isass.exe" là virus trojan có tính năng keylogger thuộc họ Sasser worm. Mục đích chính: lén lút thu thập dữ liệu từ hệ thống. Bằng cách ghi lại mọi phím bấm, virus được cấu hình để đánh cắp tên tài khoản, mật khẩu, số thẻ tín dụng và dữ liệu nhạy cảm khác để trục lợi tài chính bất hợp pháp.
Virus này đã tồn tại vài năm và Microsoft đã có biện pháp chống lại. Nếu phát hiện bị nhiễm, dùng công cụ Microsoft Malware Removal tool để xóa mọi dấu vết của Sasser worm. Sau nhiều tháng lây nhiễm hàng loạt người dùng Windows 7 và XP, Microsoft đã vá lỗ hổng cho phép virus xâm nhập. Kể từ nay, không thể bị nhiễm Sasser worm nếu bạn có bản cập nhật bảo mật Windows mới nhất.
Có nên vô hiệu hóa dịch vụ CNG key isolation không?
Không. Dịch vụ CNG key isolation là tiến trình hệ thống quan trọng cần thiết để lưu trữ thông tin mật mã an toàn. Dưới không có trường hợp nào dịch vụ CNG Key Isolation (KeyISO) hợp pháp nên bị vô hiệu hóa vĩnh viễn.
Kết thúc tiến trình lsass.exe trong Task Manager cũng sẽ dừng dịch vụ CNG key isolation. Nhưng hãy lưu ý điều này có thể khiến hệ thống tắt mạnh. Vì nó kiểm soát phần quan trọng nhất của bảo mật đăng nhập, CNG key isolation là chức năng thiết yếu của Windows.
Tuy nhiên, nếu bạn nghi ngờ dịch vụ CNG key isolation không hoạt động đúng hoặc gây vấn đề cho hệ thống, bạn có thể thử khởi động lại dịch vụ. Mở Run (Windows + R) nhập services.msc > Enter mở cửa sổ Dịch vụ.
Trong cửa sổ Dịch vụ, cuộn xuống dịch vụ CNG Key Isolation. Chuột phải dịch vụ > chọn Khởi động lại để buộc khởi tạo lại.
Lưu ý: Tùy thuộc vào việc dịch vụ CNG Key Isolation có đang được dùng hay không, bạn có thể gặp reboot bất ngờ. KHÔNG khởi động lại dịch vụ này trừ khi bạn có lý do chính đáng.