“Cứ để vài hôm cho người khác thử trước đã, lỡ bản mới có lỗi.” Lời khuyên này nghe rất khôn ngoan, và trong một số trường hợp nó đúng thật. Vấn đề là người ta áp nó cho mọi bản cập nhật — trong khi có loại cập nhật mà mỗi ngày chờ là một ngày bạn để cửa mở.
Hai loại cập nhật rất khác nhau
Chữ “cập nhật” gộp chung hai thứ có bản chất và mức rủi ro khác hẳn nhau.
Bản vá bảo mật là bản sửa một lỗ hổng vừa bị phát hiện. Nó thường nhỏ, chỉ đụng vào đúng đoạn mã có vấn đề, không thêm tính năng, không đổi giao diện. Mục tiêu duy nhất là bịt một cái lỗ.
Nâng cấp tính năng thì ngược lại: thêm chức năng, đổi cách bố trí, đôi khi thay cả kiến trúc bên dưới. Đây là loại có khả năng làm hỏng thói quen làm việc của bạn, làm phần mềm cũ không chạy nữa, hoặc ngốn thêm tài nguyên khiến máy cũ ì ạch.
Gộp hai loại này vào một thái độ chung là gốc của cả vấn đề. Lời khuyên “chờ vài hôm” sinh ra cho loại thứ hai, rồi bị đem áp cho loại thứ nhất.
Vì sao bản vá bảo mật nên cài ngay
Nhiều người hình dung lỗ hổng là bí mật, chỉ kẻ tấn công tinh vi mới biết. Thực tế gần như ngược lại.
Khi nhà cung cấp phát hành bản vá, họ thường công bố luôn lỗ hổng ấy nằm ở đâu và nghiêm trọng ra sao. Việc công bố là cần thiết để quản trị viên đánh giá mức ưu tiên. Nhưng nó cũng có nghĩa là bản thân bản vá chỉ ra chỗ yếu cho tất cả mọi người, kể cả người có ý xấu. So sánh mã trước và sau bản vá là cách nhanh để biết cần tấn công vào đâu.
Từ đó sinh ra một nghịch lý: khoảng thời gian ngay sau khi bản vá ra đời là lúc nguy hiểm nhất đối với những máy chưa cài. Trước đó lỗ hổng còn kín đáo; sau đó nó thành công khai, trong khi máy bạn vẫn y nguyên.
Và các cuộc tấn công dựa vào lỗ hổng đã công bố hầu hết là quét tự động, không nhắm ai cả. Máy quét rà khắp Internet tìm những máy còn hở. Không ai cần biết bạn là ai; bạn chỉ cần còn hở là đủ điều kiện.
Nói cách khác, chờ cho an toàn là một hiểu nhầm về hướng. Với bản vá bảo mật, chờ chính là rủi ro.
Khi nào chờ là hợp lý
Với nâng cấp lớn — đổi phiên bản chính của hệ điều hành, thay đổi nền tảng của một phần mềm bạn sống bằng nó — thì chờ hoàn toàn có lý.
Những trường hợp nên chờ:
- Máy phục vụ công việc, có phần mềm chuyên dụng. Phần mềm nghiệp vụ thường cần thời gian để tương thích với nền tảng mới. Đợi nhà cung cấp xác nhận trước.
- Thiết bị ngoại vi đặc thù — máy in nhãn, máy quét chuyên dụng, thiết bị đo. Trình điều khiển cho nền tảng mới hay ra trễ.
- Phần cứng đã cũ. Nền tảng mới thường nặng hơn, và máy cũ có thể chậm đi thấy rõ.
- Đang trong giai đoạn gấp gáp. Đừng nâng cấp lớn vào tuần chốt sổ hay trước một chuyến đi.
Chờ ở đây là chờ có mục đích và có mốc kết thúc, không phải chờ vô hạn rồi quên.
Hoãn có kiểm soát, đừng tắt hẳn
Sai lầm phổ biến là gặp một bản nâng cấp phiền phức rồi tắt luôn toàn bộ cơ chế cập nhật. Từ đó máy không nhận bản vá bảo mật nữa, mà chủ máy thì yên tâm vì “đã tắt cho đỡ phiền”.
Cách làm tốt hơn:
- Bật tự động cho bản vá bảo mật. Đây là loại nên cài mà không cần suy nghĩ. Hầu hết hệ điều hành cho phép tách riêng nhóm này.
- Đặt lịch cài vào giờ bạn không làm việc thay vì để nó ngắt ngang giữa buổi. Phiền toái thật sự thường là thời điểm, không phải bản vá.
- Dùng chức năng hoãn có thời hạn nếu hệ thống có. Hoãn vài ngày rồi tự cài lại, khác hẳn tắt vĩnh viễn.
- Với nâng cấp lớn, chủ động chọn ngày — cuối tuần, hoặc buổi có thời gian dôi ra để xử lý nếu trục trặc.
- Đừng bỏ quên trình duyệt. Nó là phần mềm tiếp xúc nhiều nhất với nội dung từ bên ngoài, nên luôn thuộc nhóm ưu tiên cập nhật cao nhất.
Sao lưu trước khi nâng cấp lớn
Đây là bước gần như ai cũng biết nên làm và gần như ai cũng bỏ qua, cho tới lần đầu gặp chuyện.
Nâng cấp lớn đụng vào những phần sâu của hệ thống. Tỉ lệ hỏng không cao, nhưng khi hỏng thì hậu quả không nhỏ, và giữa chừng thì không quay lại được.
Trước khi bấm nâng cấp:
- Có một bản sao lưu hoàn chỉnh và mới, nằm ở nơi khác chứ không phải trên chính ổ đĩa sắp nâng cấp.
- Kiểm tra bản sao lưu ấy đọc được. Một bản sao lưu chưa bao giờ mở thử chỉ là một giả định.
- Cắm nguồn điện. Mất điện giữa lúc nâng cấp là một trong những cách hỏng hệ thống chắc chắn nhất.
- Dành đủ thời gian. Đừng bắt đầu khi còn hai mươi phút nữa là phải đi.
- Ghi lại mật khẩu quan trọng ở nơi ngoài máy, phòng khi phải đăng nhập lại từ đầu.
Thiết bị hết hạn hỗ trợ
Có một tình huống mà mọi lời khuyên ở trên đều không áp dụng: thiết bị hoặc hệ điều hành đã ngừng được hỗ trợ.
Khi đó lỗ hổng mới vẫn liên tục được phát hiện, nhưng không còn bản vá nào được phát hành. Máy không phải đang “ổn định” — nó đang tích tụ dần các lỗ hổng đã công khai mà vĩnh viễn không được bịt.
Điều này đặc biệt đáng lưu ý với các thiết bị mạng ít ai nhớ tới: bộ định tuyến, camera quan sát, ổ lưu trữ mạng. Chúng chạy âm thầm nhiều năm, nối thẳng ra Internet, và hiếm khi được ai kiểm tra phần mềm.
Với nhóm này, câu hỏi không còn là cài ngay hay chờ, mà là thay hay chấp nhận rủi ro.
Tóm lại thì làm gì
- Bản vá bảo mật: cài ngay, để tự động.
- Cập nhật ứng dụng thông thường: cài trong vòng vài ngày, không cần vội nhưng đừng để dồn.
- Nâng cấp phiên bản lớn: chờ có chủ đích, sao lưu trước, chọn thời điểm, kiểm tra tương thích.
- Thiết bị hết hỗ trợ: lên kế hoạch thay thế.
Phân biệt được vá lỗ hổng với đổi tính năng thì câu hỏi “cài ngay hay chờ” tự nó có đáp án — mà đáp án ấy khác nhau tuỳ loại, chứ không phải một thái độ dùng chung cho tất cả.