Беопасность

[infoteh]

Здравствуйте!

Понадобилось сбросить пароль root, сделал отсюда https://www.altlinux.org/Сброс_пароля_Linux
Получилось.

Но получается, что любой может получить доступ root? Даже не имея доступ к БИОС, чтобы загрузиться с внешнего носителя.
Возможно это закрыть?

[kessys]

Здравствуйте!

Понадобилось сбросить пароль root, сделал отсюда https://www.altlinux.org/Сброс_пароля_Linux
Получилось.

Но получается, что любой может получить доступ root? Даже не имея доступ к БИОС, чтобы загрузиться с внешнего носителя.
Возможно это закрыть?

биос запаролить - должен выбор тоже блокировать, надо попробовать

[infoteh]

БИОС запаролен, попробовал, без проблем поменял пароль root
Это попробовал сейчас, на другом компьютере

[kessys]

БИОС запаролен, попробовал, без проблем поменял пароль root

осталось usb порт выключить

[infoteh]

осталось usb порт выключить

Причем здесь USB?
В том-то и дело, что ничего не нужно, никакого загрузочного носителя, чтобы изменить пароль root, только инструкция выше.

Т.е. если загружаешь ЛИНУКС, стандартно, с внутреннего носителя, при загрузке нажимаешь e, и пароль root меняется за несколько секунд.
Это очень удручает.

[kessys]

осталось usb порт выключить

Причем здесь USB?
В том-то и дело, что ничего не нужно, никакого загрузочного носителя, чтобы изменить пароль root, только инструкция выше.

Т.е. если загружаешь ЛИНУКС, стандартно, с внутреннего носителя, при загрузке нажимаешь e, и пароль root меняется за несколько секунд.
Это очень удручает.

А Grub, в системе в параметрах - Запуск и завершение - загрузчик grub  и далее его можешь настроить как необходимо.

[Nicom]

https://ru.stackoverflow.com/questions/1444129/Как запретить редактировать параметры GRUB "на лету"?

[kessys]

у меня на btrfs неполучилось сменить пароль

[yaleks]

Следующий этап - что будет если подключат жесткий диск к другому компьютеру. Если у вас что-то важное, то шифруйте.

[infoteh]

Получилось
Использовал
https://ru.stackoverflow.com/questions/1444129/Как-запретить-редактировать-параметры-grub-на-лету
https://habr.com/ru/companies/otus/articles/809851/

порядок:

1. Выполнить
    grub-mkpasswd-pbkdf2
    ввести пароль и подтверждение пароля

2. Скопировать в буфер обмена полученный хешированный пароль начиная с grub.pbkdf2.....

3. Создать файл
    00_passwords
    с таким содержимым:

#! /bin/sh
set -e

cat << EOF
set superusers="root"
password_pbkdf2 root вставить из буфера обмена хешированный пароль
export superusers
EOF

4. Скопировать файл в
    /etc/grub.d

5. Сделать файл исполняемым
    chmod u+x /etc/grub.d/00_passwords

6.  выполняем
    grub-mkconfig -o /boot/grub/grub.cfg

7. перезагружаемся, и теперь если при загрузке нажимаем "e" должен требовать логин и пароль

Может, что-то делал лишнего, но так работает (проверено на ALTLinux 10.4).

[Nicom]

Получилось

Но смысла в этом почти нет.
Когда есть физический доступ к компьютеру, то неважно какая ОС там установлена, если нет шифрования ФС, доступ к файлам получить можно, как и доступ к bios-setup.
Вряд ли бухгалтер будет править параметры загрузки GRUB. А если есть человек который это проделает, то имеет смысл пригласить его работать в IT отдел.

[Linuxfan]

Остается применить luks-шифрование раздела с точкой монтирования /, правда придется исключить создать отдельный boot-раздел

[asy]

Но получается, что любой может получить доступ root? Даже не имея доступ к БИОС, чтобы загрузиться с внешнего носителя.

Да.

Возможно это закрыть?

Да. Шифровать разделы.

Иначе просто можно подключить изъятый HDD к другому компьютеру.