누군가가 부트로더를 통해 루트 액세스 권한을 얻지 못하게 하려면 어떻게 해야 합니까?

Question

안전하게 유지해야 할 몇 가지 사항이 있습니다. 그 중 하나를 열면 유사한 효과를 가진 문이 나타나기 때문입니다(모두 잘 문서화되어 있으므로 실제로 백도어는 아닙니다). (예외: 1단계에서 콘솔을 물리적으로 보호한 경우에는 다른 작업을 수행할 필요가 없습니다.)

컴퓨터를 물리적으로 보호하십시오. 공격자가 컴퓨터에서 디스크 연결을 끊고 자신이 제어하는 다른 컴퓨터에 연결하는 것은 물론 펌웨어 액세스 제어를 재설정하는 것도 방지해야 합니다.
컴퓨터의 BIOS(또는 기타 부팅 펌웨어)에서 부팅 프로세스를 보호하려면 암호(또는 다른 형태의 액세스 제어)를 사용하십시오. 공격자가 Live CD, USB 또는 기타 미디어에서 부팅하는 것을 방지하려면 내부 하드 드라이브가 유일한 부팅 미디어인지 확인하십시오. 물론 공격자가 설정을 변경할 수 없도록 BIOS에 대한 액세스도 잠급니다.
기본 명령줄 이외의 부팅에는 비밀번호가 필요하도록 부트로더를 보호하세요.

1단계와 2단계는 운영 체제가 아닌 하드웨어와 관련되어 있으므로 문제가 있는 경우 문의하세요.뿌리. 3단계에서 수행할 작업은 부트로더에 따라 다릅니다(지정하지 않음). Ubuntu의 기본 부트로더는 다음과 같습니다.애벌레 2.

먼저 비밀번호 해시를 생성합니다.grub-mkpasswd-pbkdf2.

/etc/grub.d/01_users01다음으로, 다음 콘텐츠( 생성된 콘텐츠 grub.pbkdf2.….DEADBEEF는 어디에 있습니까 grub-mkpasswd-pbkdf2?) 로 이름이 지정된 실행 파일(mod 755 또는 700)(파일이 있어야 함)을 생성하여 사용자와 비밀번호를 선언합니다.

#!/bin/sh -e
## Declare users and passwords
cat <<EOF
set superusers="torayeff"
password_pbkdf2 torayeff grub.pbkdf2.sha512.10000.DEADBEEF
EOF

인증된 수퍼유저만 메뉴 항목을 편집하거나 명령줄을 입력할 수 있습니다. 다른 사용자는 준비된 항목만 시작할 수 있습니다.

특정 부팅 항목을 인증된 사용자로 제한하려면 해당 항목이 생성된 위치를 바꾸십시오 menuentry "name". menuentry "name" --users "user1 user2"Linux 설치, memtest86 및 이 컴퓨터에 있을 수 있는 기타 운영 체제에 대한 항목은 /etc/grub.d/10_linux각각 /etc/grub.d/20_memtest86+및 에 있습니다 /etc/grub.d/30_os-prober.

에서 변경한 후 /etc/grub.d다시 sudo update-grub시작하기 전에 실행하십시오.

Answer 1