从 Linux 安装中保护 GRUB 密码

Question

我最近遇到了通过 GRUB 进入单用户模式来更改 Linux 密码的方法。经过一番挖掘后，我发现了一些关于如何使用 sha512 散列密码来保护它的文章。虽然这听起来像是保护 GRUB 的一个不错的选择，但我还了解到您可以使用 Linux 安装来简单地更改它。

那么如何才能以无法通过使用 Linux 安装来修改或删除的方式保护密码呢？

Answer 1

那么如何才能以无法通过使用 Linux 安装来修改或删除的方式保护密码呢？

这是不是可能的。如果有人可以物理访问您的设备，他们就可以执行任何操作。您有两个选择：

1. 加密全部分区并从只有您有权访问的 USB 记忆棒等启动。

2. 对于新的 GRUB 版本，如果启用了安全 EFI [引导]，则可以加密所有分区，并仅保留 EFI 引导分区不加密不GRUB 密码全无。

   显然，您必须设置密码才能访问 BIOS，否则攻击者可能会禁用安全启动或安装自己的 MAC 密钥并篡改启动加载程序并嗅探您的密码。

最后，如果有人可以物理访问您的电脑，他们可能会篡改您的键盘并安装硬件键盘记录器 - 那么您的所有保护措施都毫无价值。

保护您的设备免受物理攻击是一个非常复杂的主题。也许您应该选择最近发布的 Apple 设备或 Android 手机，它们可以完美地完成此操作。普通的 x86 PC/笔记本电脑很容易受到各种不可检测的物理攻击。