# iSecOS — Câu hỏi thường gặp (FAQ)

**iSecOS 1.0-alpha7 (MotaX)** · Hệ điều hành desktop an toàn cho cơ quan
chính phủ và lực lượng an ninh.

> FAQ tổng hợp cho người dùng cuối, cán bộ CNTT và đơn vị đang đánh giá
> iSecOS. Hướng dẫn sử dụng chi tiết xem `docs/user-manual.md`; tài liệu quản
> trị xem `docs/admin-guide.md`; hướng dẫn cài đặt xem `INSTALL-GUIDE.md`.

---

## 1. Cài đặt

**Câu 1. Máy của tôi có cài được iSecOS không?**

Yêu cầu tối thiểu: CPU amd64 dual-core, 4 GB RAM, ổ đĩa 40 GB, boot BIOS hoặc
UEFI. Khuyến nghị: quad-core+, 8 GB RAM, SSD 120 GB, UEFI + TPM 2.0 (để mở
khóa đĩa tự động). Kiểm tra nhanh TPM/CPU trên Windows bằng `tpm.msc` và
`msinfo32`. Danh sách máy đã kiểm tra xem `docs/HARDWARE-COMPAT.md`.

**Câu 2. iSecOS khác gì Windows?**

iSecOS là hệ điều hành Linux (nền Debian 13, desktop GNOME 48) được "đóng
khung an toàn" ngay từ lúc cài: mã hóa toàn bộ đĩa (LUKS2/AES-256), xác thực
hai yếu tố (OTP/U2F), USB lưu trữ chặn mặc định, phần mềm chỉ cài từ kho nội
bộ ký số. Về thao tác văn phòng: soạn thảo, bảng tính, email, web, chat, in
ấn đều có sẵn (LibreOffice, Thunderbird, Chromium, GoChat). Bảng đối chiếu
thao tác Windows ↔ GNOME xem `docs/user-manual.md` mục 2 — nhìn khác nhưng
1–2 ngày là quen.

**Câu 3. Cài iSecOS mất bao lâu, có khó không?**

Khoảng 10–15 phút, hầu như tự động. Cắm USB cài đặt là bộ cài đồ họa tiếng
Việt tự chạy sau 5 giây; bạn chỉ cần chọn 2 thứ: **mật khẩu người dùng** và
**passphrase mã hóa đĩa** (passphrase này nên ghi ra giấy và giữ ở nơi an
toàn). Cài xong máy tự tắt. Hướng dẫn tạo USB từng bước xem
`INSTALL-GUIDE.md` mục 2–3.

**Câu 4. Tôi đang dùng Windows — cài iSecOS có mất dữ liệu cũ không?**

Có — bộ cài mã hóa và dùng toàn bộ ổ đĩa, dữ liệu Windows trên ổ đó **không
giữ lại**. Vì vậy hãy chuyển dữ liệu TRƯỚC: đánh dấu thư mục cần giữ, hoặc
lưu partition Windows trên ổ thứ hai (iSecOS đọc NTFS được). Cài xong, chạy
công cụ di chuyển dữ liệu:

```sh
sudo isecos-migrate scan            # quét phân vùng NTFS của Windows
isecos-migrate copy                 # chép Documents/Desktop/Downloads/...
isecos-migrate email                # import email Outlook PST vào Thunderbird
isecos-migrate browser              # import bookmark Chrome/Firefox
```

Công cụ chỉ **đọc** phân vùng Windows (mount chế độ read-only), không bao giờ
ghi vào. Kết quả nằm ở `~/Windows-Migration/`.

**Câu 5. Tôi muốn dùng thử mà không cài đè máy thì sao?**

Dùng **USB Live**: ghi ISO ra USB (Rufus/Etcher), boot máy từ USB là chạy
thẳng iSecOS không đụng ổ cứng. Muốn lưu dữ liệu/thay đổi sau reboot, tạo
thêm phân vùng persistence trên USB — hướng dẫn tại `INSTALL-GUIDE.md` mục 7.
Máy ảo (VirtualBox/VMware/QEMU) cũng boot được ISO để thử.

## 2. Bảo mật

**Câu 6. iSecOS có virus không? Linux có an toàn hơn Windows không?**

Không hệ điều hành nào "miễn dịch" nhưng iSecOS có nhiều lớp ngăn chặn hơn
máy Windows thường: (1) phần mềm chỉ cài từ kho nội bộ **ký số GPG** — không
tải linh tinh từ internet; (2) **AppArmor** giới hạn quyền của ~125 ứng dụng
(chromium, libreoffice, thunderbird… đều chạy trong "cát"); (3) **auditd**
ghi lại mọi hành vi nhạy cảm; (4) USB — đường lây mã độc phổ biến — bị chặn
mặc định; (5) vá bảo mật tự động (`unattended-upgrades`). Kết hợp với việc
không chạy file `.exe` tự do, mặt tấn công nhỏ hơn hẳn Windows.

**Câu 7. Mã hóa đĩa là gì? Tôi có phải làm gì không?**

Toàn bộ dữ liệu trên đĩa được mã hóa **LUKS2/AES-256** ngay khi cài — mất máy
không ai đọc được dữ liệu. Bạn chỉ cần gõ **passphrase** lần đầu bật máy
(khác mật khẩu đăng nhập). Nếu máy có chip **TPM 2.0**, iSecOS sẽ đề nghị
"Mở khóa tự động bằng TPM" ngay lần đăng nhập đầu — nhập passphrase một lần
duy nhất, từ boot sau là vào thẳng màn hình đăng nhập. Từ chối thì không hỏi
lại; muốn bật sau: `sudo isecos-tpm-enroll`.

**Câu 8. Quên mật khẩu LUKS (passphrase đĩa) thì sao?**

NGHIÊM TRỌNG: quên passphrase đĩa là **mất toàn bộ dữ liệu** — không có
cách khôi phục "chính chủ". Hai lối thoát duy nhất:

1. **Khóa dự phòng (recovery key)**: bộ cài tạo sẵn keyslot recovery — nếu
   đơn vị CNTT đã lưu nó trong két (quy trình `docs/admin-guide.md` mục 6.1),
   liên hệ CNTT mở đĩa bằng khóa đó rồi đặt passphrase mới.
2. Chưa lưu recovery key nào → dữ liệu không cứu được; phải cài lại
   (`sudo isecos-reset` hoặc boot USB cài đặt).

Vì vậy: ngay khi nhận máy, hãy xác nhận CNTT đã escrow khóa dự phòng, và tự
ghi passphrase của bạn vào nơi an toàn (không dán lên máy).

**Câu 9. Mã OTP (MFA) là gì? Điện thoại mất thì đăng nhập thế nào?**

MFA = đăng nhập cần mật khẩu **+** mã OTP từ app (FreeOTP/Google
Authenticator) — áp cho đăng nhập máy, sudo và SSH. Khi enroll
(`isecos-mfa enroll`) hệ thống sinh **10 mã khôi phục** dùng một lần mỗi mã —
hãy in/ghi lại và cất kín. Mất điện thoại: dùng một mã khôi phục để vào máy,
sau đó báo CNTT enroll lại. Hết mã khôi phục: CNTT phải xác minh danh tính
trực tiếp trước khi reset. Chi tiết xem `docs/user-manual.md` mục 9.2.

**Câu 10. Cắm USB vào không thấy gì — máy hỏng à?**

Không hỏng — đó là chính sách **DLP** chặn USB lưu trữ mặc định (chống thất
thoát dữ liệu). Bàn phím/chuột USB vẫn hoạt động bình thường. Công việc cần
USB: gửi yêu cầu CNTT, họ sẽ mở theo từng máy/thiết bị
(`sudo isecos-dlp allow-usb-storage` hoặc whitelist từ Control Center). Mọi
lần cắm/rút USB đều được ghi audit log.

## 3. Ứng dụng

**Câu 11. File Word/Excel của cơ quan mở được không? Gửi ngược sang máy Windows đọc được không?**

Được. LibreOffice mở trực tiếp .docx/.xlsx/.pptx và lưu lại đúng định dạng
đó. Lưu ý: dùng phông thời cuộc (font tương thích đã cài sẵn: Liberation thay
Arial, Carlito thay Calibri) và macro VBA phức tạp có thể không chạy (xem
câu 12). Mẹo lưu file: *File → Save As → chọn kiểu Office 2007–365*.

**Câu 12. Có chạy được phần mềm Windows không?**

Một phần — qua lớp tương thích **Wine** (kèm winetricks) cài sẵn: các phần
mềm .exe văn phòng/đồ cũ đời thường thường chạy được. Nhưng Wine không phải
máy ảo Windows, phần mềm nặng đồ họa/chuyên dụng (kế toán cũ, CAD…) có thể
không chạy. Phương án thay thế khi Wine thất bại: (1) Remmina RDP vào máy
chủ Windows của cơ quan; (2) dùng phiên bản web của phần mềm; (3) đề nghị
CNTT cấp máy ảo Windows. Đừng tự tải "bản vá/bản cracked" từ mạng — vi phạm
quy định an ninh.

**Câu 13. Có hỗ trợ bàn phím tiếng Việt không?**

Có, mặc định luôn bật: **ibus-unikey** (gõ Telex/VNI đúng kiểu Unikey) — bật
bằng phím **Super + Space** để đổi VI/EN; biểu tượng "VI/EN" trên góc phải
màn hình. LibreOffice, Thunderbird, Chromium đều gõ tiếng Việt chuẩn, có
dấu. Chỉnh kiểu gõ: *Cài đặt → Bàn phím → Nguồn nhập*.

**Câu 14. Làm sao in máy in mạng / scan tài liệu?**

Máy in cắm mạng/kết nối chung: *Cài đặt → Máy in → Thêm* — iSecOS tự dò máy
in trong mạng (CUPS + driver đa dạng cài sẵn: HP LaserJet, Canon, Epson…).
Máy in không tự dò thấy: chọn "Nhập theo địa chỉ" và nhập IP máy in
(`ipp://<ip>/ipp/print`). Việc in kẹt: mở `http://localhost:631` → tab
*Jobs* → hủy việc in lỗi. Scan: mở app *Trình quét tài liệu* (simple-scan).
Chi tiết + hướng dẫn hình xem `docs/user-manual.md` mục 7.

**Câu 15. Tôi cần phần mềm mới — tự tải trên mạng được không?**

Không. Mọi phần mềm phải qua **kho nội bộ** `isecos.isecurity.vn` (ký số
GPG, quản trị viên Control Center duyệt) — đây là điều kiện để máy được bảo
hành an ninh và hỗ trợ chính thức. Cần gì: gửi yêu cầu CNTT qua GoChat/email;
nếu là phần mềm phổ biến hợp lệ, CNTT đưa vào kho để cài qua
`sudo apt install <tên-gói>`. Ngoài ra admin có thể bật **app whitelist**
(`isecos-whitelist`) — khi đó chỉ các ứng dụng được phép mới chạy được.

## 4. Cập nhật

**Câu 16. Có tự cập nhật không?**

Có, hai tầng: (1) **vá bảo mật tự động** hằng ngày qua `unattended-upgrades`
— chỉ từ kho nội bộ ký số, không từ internet công cộng; (2) **nâng cấp phiên
bản lớn** qua `isecos-upgrade` — xem câu 17. Máy không kết nối được internet
cũng không lo: mọi bản vá đi qua mirror nội bộ của cơ quan. Kiểm tra trạng
thái: `systemctl status unattended-upgrades`.

**Câu 17. Làm sao nâng cấp lên bản iSecOS mới mà không phải cài lại?**

Dùng công cụ nâng cấp tại chỗ (từ alpha6 trở đi):

```sh
isecos-upgrade status    # xem phiên bản hiện tại
isecos-upgrade check     # kiểm tra có bản mới chưa
sudo isecos-upgrade apply   # nâng cấp — không cần tải ISO, không mất dữ liệu
```

Mọi gói tải về đều qua **chuỗi xác thực GPG 3 tầng** (chữ ký InRelease →
SHA256 Packages → SHA256 từng .deb) — nếu kho bị giả mạo/MITM, nâng cấp tự
chặn. Trước khi đổi, hệ thống tự backup `/etc/os-release` vào
`/var/backups/isecos/` (giữ 10 bản); log tại `/var/log/isecos-upgrade.log`.
Khuyến nghị: tạo snapshot trước khi nâng cấp — `sudo isecos-backup create`.

**Câu 18. Nâng cấp có rủi ro hỏng máy không? Làm sao quay lại nếu lỗi?**

Rủi ro thấp (chuỗi GPG chặn gói giả mạo + backup tự động), nhưng để an toàn
tuyệt đối: **tạo snapshot trước** (`sudo isecos-backup create`) — sau đó nếu
có sự cố, khôi phục nguyên trạng:

```sh
isecos-backup list                  # xem các snapshot
sudo isecos-backup restore <id>     # khôi phục (tự tạo snapshot pre-restore)
```

Ngoài ra admin có thể bật **disk freeze** (`sudo isecos-freeze on`) — khóa
đóng băng /etc /opt /usr, mọi thay đổi trên các thư mục này tự đảo ngược lúc
reboot: máy phòng chờ/lab luôn về trạng thái sạch.

**Câu 19. Làm sao biết máy đang chạy bản nào? Thông tin hệ thống ở đâu?**

```sh
isecos-info          # tổng quan: phiên bản, kernel, RAM, đĩa, TPM, MFA, NAC, DLP
cat /etc/os-release  # tên bản + codename (MotaX)
isecos-upgrade status
```

Trên Control Center, admin thấy toàn bộ fleet: mỗi máy agent checkin mỗi 5
phút (phiên bản OS, posture MFA/NAC/DLP, trạng thái online/offline).

**Câu 20. Máy gặp lỗi/crash — báo cho ai? Thông tin lỗi đi đâu?**

Tin tốt: máy **tự báo** — `isecos-report` chạy mỗi 15 phút thu kernel
errors, service failures, app crashes và gửi về Control Center (kèm thông tin
hệ thống, không kèm nội dung file của bạn). Bạn cũng chủ động được:

```sh
isecos-report crash                # báo lỗi kèm stack trace gần nhất
isecos-report feedback "..."       # gửi góp ý/đề xuất
```

Ngoài ra liên hệ CNTT qua GoChat hoặc email isecos@isecurity.vn — kèm ảnh
chụp màn hình lỗi và mô tả thao tác dẫn đến lỗi để xử lý nhanh.

---

## Liên hệ

- Hỗ trợ kỹ thuật (người dùng): đơn vị CNTT cơ quan qua GoChat
- Góp ý tài liệu/sản phẩm: isecos@isecurity.vn
- Báo lỗi phần cứng: theo quy ước `[HW-TEST]` trong `docs/HARDWARE-COMPAT.md`

---
*iSecOS 1.0-alpha7 (MotaX) — FAQ. Tài liệu liên quan: `docs/user-manual.md`
(sổ tay người dùng), `docs/admin-guide.md` (sổ tay quản trị),
`INSTALL-GUIDE.md` (cài đặt), `docs/CHANGELOG.md` (lịch sử phiên bản).*