Làm cách nào tôi có thể ngăn người khác truy cập root thông qua bộ tải khởi động?

Trên Ubuntu 10.10 tôi có thể đăng nhập bằng root mà không cần mật khẩu root bằng cách thay thế ro quiet splashbằng rw init=/bin/bash. Làm cách nào tôi có thể bảo mật máy của mình và vô hiệu hóa cửa hậu này?

Bạn cần bảo mật một số thứ, vì để bất kỳ thứ nào trong số này mở ra một cánh cửa (nó không thực sự là một cửa hậu vì tất cả đều được ghi chép lại) về tác động tương tự. (Ngoại lệ: nếu ở bước 1, bạn cũng có thể bảo mật bảng điều khiển, thì bạn không cần phải làm gì khác.)

1. Vật lý bảo mật máy tính. Bạn phải ngăn chặn kẻ tấn công ngắt kết nối đĩa khỏi máy tính và kết nối nó với máy tính khác mà chúng điều khiển và đặt lại điều khiển truy cập phần sụn.
2. Bảo vệ quá trình khởi động trong BIOS của máy tính (hoặc phần sụn khởi động khác) bằng mật khẩu (hoặc hình thức kiểm soát truy cập khác). Đảm bảo rằng đĩa cứng bên trong là phương tiện khởi động được chọn duy nhất, để ngăn kẻ tấn công khởi động từ đĩa CD, USB hoặc phương tiện khác. Tất nhiên, cũng khóa quyền truy cập vào BIOS, để kẻ tấn công không thể thay đổi cài đặt đó.
3. Bảo vệ bộ nạp khởi động để khởi động mọi thứ trừ dòng lệnh mặc định yêu cầu cung cấp mật khẩu.

Bước 1 và 2 là về phần cứng của bạn chứ không phải về hệ điều hành, vì vậy nếu bạn gặp sự cố với chúng, hãy hỏi về Super User . Đối với bước 3, việc cần làm phụ thuộc vào bộ tải khởi động của bạn (mà bạn chưa chỉ định). Bộ tải khởi động mặc định trên Ubuntu là Grub 2 .

Đầu tiên, tạo một mật khẩu băm với grub-mkpasswd-pbkdf2.

Tiếp theo, khai báo một người dùng và mật khẩu bằng cách tạo một tệp thực thi (mod 755 hoặc 700) được gọi /etc/grub.d/01_users(vấn đề là các tệp có 01) với những nội dung này (nơi grub.pbkdf2.….DEADBEEFđược grub-mkpasswd-pbkdf2sản xuất):

#!/bin/sh -e
## Declare users and passwords
cat <<EOF
set superusers="torayeff"
password_pbkdf2 torayeff grub.pbkdf2.sha512.10000.DEADBEEF
EOF

Chỉ những siêu nhân được xác thực mới có thể chỉnh sửa các mục menu hoặc nhập một dòng lệnh. Những người dùng khác chỉ có thể khởi động các mục đã chuẩn bị.

Nếu bạn cũng muốn hạn chế một số mục khởi động cho người dùng được xác thực, hãy thay thế menuentry "name"bằng menuentry "name" --users "user1 user2"vị trí chúng được tạo. Các mục nhập cho cài đặt Linux, memtest86 và bất kỳ HĐH nào khác mà bạn có thể có trên máy đó /etc/grub.d/10_linux, /etc/grub.d/20_memtest86+và /etc/grub.d/30_os-probertương ứng.

Khi bạn đã thực hiện thay đổi /etc/grub.d, hãy chạy sudo update-grubtrước khi khởi động lại.