Προστασία του GRUB με κωδική λέξη

[anvo]

Πρόκειται για μετάφραση του οδηγού που βρίσκεται στην διεύθυνση https://help.ubuntu.com/community/Grub2/Passwords και αναφέρεται στις εκδόσεις των Ubuntus που διαθέτουν GRUB 2

ΠΡΟΣΤΑΣΙΑ ΤΟΥ GRUB 2 ΜΕ ΚΩΔΙΚΗ ΛΕΞΗ

Ο GRUB 2 παρέχει βασική προστασία με κωδική λέξη για το μενού και το τερματικό του περιβάλλον. Ο χρήστης μπορεί να ορίσει κωδικές λέξεις ώστε να προστατέψει ολόκληρο το μενού ή συγκεκριμένα στοιχεία του. Η εισαγωγή κωδικής λέξης μπορεί να είναι απαραίτητη για όλους τους χρήστες ή μόνο για επιλεγμένους χρήστες. Οι κωδικές λέξεις μπορούν να αποθηκευτούν με κρυπτογραφημένη ή με μη κρυπτογραφημένη μορφή. Η σελίδα αυτή περιγράφει με λεπτομέρειες τις αναγκαίες διαδικασίες για να ενεργοποιήσετε και να χρησιμοποιήσετε την επιλογή κωδικής λέξης για το GRUB 2.

Στον οδηγό αυτό όταν αναφέρεται ο όρος «GRUB» θα εννοείται ο «GRUB 2», έκδοσης 1.99 ή μεταγενέστερη. Μερικά χαρακτηριστικά όπως η κρυπτογράφηση κωδικών λέξεων ίσως δεν είναι διαθέσιμα σε προγενέστερες εκδόσεις. Οι χρήστες μπορούν να διαπιστώσουν την έκδοση του GRUB που χρησιμοποιούν δίνοντας την εντολή grub-install -v.

Σημείωση: Η προστασία με κωδική λέξη που διαθέτει ο GRUB 2 παρέχει βασική προστασία ώστε να αποτραπεί η μη εξουσιοδοτημένη πρόσβαση στα λειτουργικά συστήματα μέσω του μενού του GRUB 2. Πρόσωπα με φυσική πρόσβαση στον υπολογιστή μπορούν να αποκτήσουν πρόσβαση στα αρχεία του μέσω άλλων μεθόδων τις οποίες ο GRUB 2 δεν μπορεί να αποτρέψει.

Σημειώσεις για την προστασία με κωδική λέξη του GRUB 2
Ο GRUB 2 παρέχει προστασία με κωδική λέξη για:

1. Όλα τα στοιχεία του μενού
2. Συγκεκριμένα στοιχεία του μενού
3. Συγκεκριμένους χρήστες

1. Για παράδειγμα, ο χρήστης «Ελένη» έχει πρόσβαση στο Ubuntu αλλά όχι στην λειτουργία ανάκτησης του Windows η οποία είναι προσβάσιμη μόνο από τον «Γιάννη», τον υπερχρήστη.
4. Ο διαχειριστής πρέπει να ενεργοποιήσει την προστασία με κωδική λέξη χειροκίνητα, αλλάζοντας το περιεχόμενο των αρχείων συστήματος του GRUB 2.
5. Τα ονόματα χρηστών και οι κωδικές λέξεις πρέπει να προσδιορίζονται στο αρχείο /etc/grub.d/00_header ή σε άλλο αρχείο σεναρίου του GRUB 2.
6. Αν δεν είναι επιθυμητή η προστασία όλων των στοιχείων μενού, πρέπει να προσδιοριστούν τα συγκεκριμένα στοιχεία:

1. Χειροκίνητα, αλλάζοντας τα αρχεία σεναρίου του καταλόγου /etc/grub.d/, όπως το 10_linux και το 30_os-prober
2. Χειροκίνητα, συντάσσοντας ένα προσωπικό προσαρμοσμένο αρχείο ρύθμισης που δημιουργείται από τον χρήστη.
1. Με οποιαδήποτε από τις παραπάνω μεθόδους ο GRUB 2 προσθέτει αυτόματα την απαίτηση για κωδική λέξη στο αρχείο ρυθμίσεων (grub.cfg) κάθε φορά που εκτελείται update-grub
2. Χειροκίνητα, αλλάζοντας το αρχείο /boot/grub/grub.cfg. Οι αλλαγές στο αρχείο αυτό θα διαγραφούν με την εκτέλεση του update-grub και η προστασία με κωδική λέξη θα χαθεί.
7. Αν έχει ενεργοποιηθεί οποιαδήποτε μορφή προστασίας με κωδική λέξη, για την πρόσβαση στις λειτουργίες γραμμής εντολής και επεξεργασίας μενού του GRUB 2 απαιτούνται το όνομα του υπερχρήστη και η κωδική λέξη.
8. Το όνομα χρήστη και/ή η κωδική λέξη δεν χρειάζεται να είναι τα ίδια με εκείνα της σύνδεσης στο Ubuntu.
9. Αν δεν χρησιμοποιηθεί το χαρακτηριστικό κρυπτογράφησης της κωδικής λέξης του GRUB 2, η κωδική λέξη αποθηκεύεται ως απλό κείμενο σε ένα αναγνώσιμο αρχείο. Για οδηγίες χρήσης του χαρακτηριστικού αυτού δείτε την ενότητα Password Encryption.

Πώς λειτουργεί
Μόλις προσδιοριστούν το όνομα υπερχρήστη και η κωδική λέξη, η ιδιότητα προστασίας του GRUB 2 με κωδική λέξη ενεργοποιείται και το μενού εμφανίζεται ως συνήθως. Όταν επιλεχθεί ένα στοιχείο του μενού που απαιτεί κωδική λέξη ο χρήστης προτρέπεται να εισάγει τα σωστά όνομα αρχείου και κωδική λέξη. Αν αυτά εισαχθούν σωστά, το στοιχείο του μενού θα προχωρήσει στην εκκίνηση. Αν οι πληροφορίες δοθούν λανθασμένα, το περιβάλλον θα επιστρέψει στο μενού του GRUB 2.

Αν ο GRUB 2 είναι ρυθμισμένος ώστε να εκκινεί κατευθείαν από ένα στοιχείο χωρίς να εμφανίσει το μενού του, θα εμφανιστεί η προτροπή εισαγωγής ονόματος χρήστη και κωδικής λέξης και το στοιχείο του μενού δεν θα εκκινεί έως ότου αυτά εισαχθούν σωστά.

Ορίζοντας μόνον ένα χρήστη και μια κωδική λέξη, η πρόσβαση στο τερματικό περιβάλλον του GRUB 2 και στα στοιχεία του μενού περιορίζεται στον υπερχρήστη.

Για την ενεργοποίηση της προστασίας με κωδική λέξη ο GRUB 2 απαιτεί,

1. Έναν υπερχρήστη
2. Την κωδική λέξη του υπερχρήστη

1. Με τις πληροφορίες αυτές ο GRUB 2 θα εμποδίσει την επεξεργασία του μενού και την πρόσβαση στο τερματικό του περιβάλλον.
3. Προαιρετικά μπορούν να προστεθούν και άλλοι χρήστες και κωδικές λέξεις ώστε να περιορίζεται η πρόσβαση σε συγκεκριμένα στοιχεία.

Για να προστατέψετε ένα ή περισσότερα στοιχεία:

1. Κάθε στοιχείο του μενού που πρόκειται να προστατευθεί πρέπει να περιλαμβάνει στην γραμμή του τίτλου του πληροφορίες για τους χρήστες στους οποίους θα δοθεί πρόσβαση.
2. Στο Ubuntu Precise ή σε προγενέστερα, αν δεν οριστούν χρήστης ή χρήστες για κάποιο συγκεκριμένο στοιχείο του μενού, πρόσβαση στο στοιχείο αυτό έχουν όλοι οι χρήστες.
3. Στο Ubuntu Quantal και μεταγενέστερα, αν δεν οριστούν χρήστης ή χρήστες για κάποιο συγκεκριμένο στοιχείο του μενού, πρόσβαση στο στοιχείο αυτό έχει μόνο ο υπερχρήστης.

Προειδοποιήσεις και προφυλάξεις
1. Σφάλματα κατά την δημιουργία του προστατευμένου με κωδική λέξη μενού του GRUB 2 μπορεί να έχουν σαν αποτέλεσμα μη εκκινήσιμο σύστημα. Για να αποκαταστήσετε κάποιο σύστημα με προβληματική κωδική λέξη, επεξεργαστείτε τα αρχεία ρυθμίσεων του GRUB 2 χρησιμοποιώντας κάποιο LiveCD ή άλλο Λ.Σ.
2. Αν έχει ενεργοποιηθεί η προστασία με κωδική λέξη, μόνον ο καθορισμένος υπερχρήστης μπορεί να επεξεργαστεί τα στοιχεία του μενού πατώντας «e» ή να αποκτήσει πρόσβαση στην γραμμή εντολής του GRUB 2 πατώντας «c».
3. Αν ο GRUB 2 είναι ρυθμισμένος ώστε να εκκινεί αυτόματα κάποιο στοιχείο του μενού που προστατεύεται με κωδική λέξη, ο χρήστης δεν θα έχει την επιλογή να αποφύγει την προτροπή εισαγωγής της κωδικής λέξης και να επιλέξει κάποιο άλλο στοιχείο του μενού. Σε μια τέτοια περίπτωση, το πάτημα του πλήκτρου SHIFT δεν θα εμφανίσει το μενού. Έτσι, ο χρήστης πρέπει να πληκτρολογήσει τα σωστά όνομα χρήστη και κωδική λέξη. Αν αυτό δεν είναι εφικτό, τα αρχεία ρυθμίσεων πρέπει να επεξεργαστούν μέσω LiveCD ή άλλων τρόπων ώστε να διορθωθεί το πρόβλημα.
4. Οι χρήστες που πειραματίζονται με τις κωδικές λέξεις του GRUB 2, πρέπει να διατηρήσουν τουλάχιστον ένα στοιχείο μενού χωρίς προστασία μέσω κωδικής λέξης και να ορίσουν τον χρόνο λήξης προβολής του μενού τουλάχιστον στο 1 δευτερόλεπτο έως ότου ολοκληρώσουν τους πειραματισμούς τους. Με τον τρόπο αυτό ο χρήστης θα μπορεί να εκκινήσει κανονικά τον υπολογιστή του ώστε να διορθώσει τυχούσες προβληματικές ρυθμίσεις.[/list]

Ρύθμιση της προστασίας μέσω κωδικής λέξης
Υπάρχουν τρία βήματα για την ενεργοποίηση της προστασίας του GRUB 2 με κωδική λέξη. Πρέπει να προσδιοριστούν οι εξουσιοδοτημένοι χρήστες, οι κωδικές λέξεις τους και τα στοιχεία μενού που θα προστατευθούν. Οι χρήστες και οι κωδικές τους λέξεις προστίθενται χειροκίνητα στο αρχείο /etc/grub.d/00_header. Εφόσον το αρχείο αυτό είναι αρχείο συστήματος, πρέπει να επεξεργαστεί από χρήστη που έχει δικαιώματα υπερχρήστη (root). Οι πληροφορίες ονόματος χρήστη και κωδικής λέξης εισάγονται αυτόματα στο αρχείο ρυθμίσεων του GRUB 2 μόλις εκτελέσετε το πρόγραμμα update-grub

Για να επεξεργαστείτε τα αρχεία /etc/grub.d/00_header*, /etc/grub.d/10_linux και /etc/grub.d/30_os-prober ανοίξτε τα ως υπερχρήστης με κάποιον επεξεργαστή κειμένου (σαν το gedit):

Κώδικας: Επιλογή όλων

gksu gedit /etc/grub.d/00_header /etc/grub.d/10_linux /etc/grub.d/30_os-prober

*Οι πληροφορίες ονόματος χρήστη/υπερχρήστη και κωδικής λέξης δεν χρειάζεται να αποθηκευτούν στο αρχείο /etc/grub.d/00_header. Οι πληροφορίες αυτές μπορούν να τοποθετηθούν σε οποιοδήποτε αρχείο του καταλόγου /etc/grub.d αφού το αρχείο αυτό ενσωματώνεται στο grub.cfg. Ο χρήστης ίσως προτιμήσει να εισάγει τα δεδομένα αυτά σε κάποιο προσωπικό προσαρμοσμένο αρχείο, π.χ. /etc/grub.d/40_custom, ώστε να μην διαγράφονται σε περίπτωση αναβάθμισης του πακέτου Grub. Αν επιλέξετε να αποθηκεύσετε τις πληροφορίες σε κάποιο προσαρμοσμένο αρχείο, μην συμπεριλάβετε τις γραμμές «cat<<EOF» και «EOF» αφού το περιεχόμενο εισάγεται αυτόματα από τα αρχεία αυτά.

Προσδιορισμός Υπερχρήστη και Κωδικής λέξης (Απαιτείται)
Πρέπει να καθοριστεί ένας υπερχρήστης. Ο χρήστης αυτός μπορεί να επιλέξει όλα τα στοιχεία μενού, να επεξεργαστεί οποιοδήποτε στοιχείο του μενού στην διάρκεια της διαδικασίας εκκίνησης και έχει πρόσβαση στο τερματικό περιβάλλον του GRUB 2.

1. Ο υπερχρήστης ορίζεται σε μια δική του γραμμή:

set superusers="user1" Παράδειγμα: set superusers="John"

2. Ο τρόπος προσθήκης της κωδικής λέξης του υπερχρήστη και κάθε άλλου πρόσθετου χρήστη και κωδικής λέξης:

password <user> <password> Παράδειγμα: password John foo

Σημείωση: Ο GRUB 2 1.99 του 12.04 LTS δεν μπορεί να προστατέψει υπομενού, δηλαδή, η γραμμή εντολής, η επεξεργασία των στοιχείων και η πρόσβαση στα στοιχεία δεν προστατύονται! Δείτε το σφάλμα 718670. Μια λύση είναι η εξαγωγή της μεταβλητής superusers προσθέτοντας στα παραπάνω export superusers. Το παραπάνω παράδειγμα θα μοιάζει κάπως έτσι:

Κώδικας: Επιλογή όλων

set superusers="John"
password John foo
export superusers

Οι κωδικές λέξεις του GRUB 2 αποθηκεύονται ως απλό κείμενο μέσα σε αναγνώσιμα αρχεία. Ο GRUB 2 μπορεί να κρυπτογραφήσει την κωδική λέξη χρησιμοποιώντας το πρόγραμμα grub-mkpasswd-pbkdf2. Για λεπτομέρειες δείτε την ενότητα Κωδικοποίηση Κωδικής λέξης

1. Ανοίξτε το αρχείο /etc/grub.d/00_header και προσθέστε τα ακόλουθα στο τέλος του κειμένου.

Κώδικας: Επιλογή όλων

cat << EOF
set superusers="user1"
password user1 password1
EOF

Παράδειγμα:

Κώδικας: Επιλογή όλων

cat << EOF
set superusers="superman"
password superman 1234
EOF

Άλλοι χρήστες (Προαιρετικό)
Μπορούν να ορισθούν και άλλοι χρήστες και να τους αποδοθούν κωδικές λέξεις. Ο κάθε καθορισμένος χρήστης έχει πρόσβαση σε όλα τα μη προστατευόμενα στοιχεία μενού και σε όσα έχει συγκεκριμένα δικαιώματα.
1. Προσθέστε τα δεδομένα με απλή γραμματοσειρά που ακολουθούν στο τέλος του αρχείου /etc/grub.d/00_header
2. Χρησιμοποιήστε αυτά τα δεδομένα, μάλλον, παρά το προηγούμενο παράδειγμα.

Κώδικας: Επιλογή όλων

cat << EOF
set superusers="user1"
password user1 password1
password user2 password2
EOF

Παράδειγμα:

Κώδικας: Επιλογή όλων

cat << EOF
set superusers="superman"
password superman 1234
password bill 5678
EOF

Έχοντας εισάγει μόνο τις παραπάνω πληροφορίες στο αρχείο /etc/grub.d/00_header, στα μενού του GRUB 2 και στο τερματικό του περιβάλλον έχει μόνο πρόσβαση ο υπερχρήστης. Κάθε χρήστης έχει πρόσβαση σε κάθε στοιχείο μενού. Για να προστατέψετε με κωδική λέξη ένα ή περισσότερα στοιχεία μενού, συνεχίστε στην επόμενη ενότητα.

Προστατεύοντας τα στοιχεία μενού
Το μενού του GRUB 2 μπορεί να περιέχει προστατευμένα και μη προστατευμένα στοιχεία. Ο τρόπος προστασίας ενός στοιχείου μενού συνίσταται στην προσθήκη των πληροφοριών πρόσβασης του χρήστη στην γραμμή του στοιχείου μενού.

1. Η παρουσία --unrestricted απενεργοποιεί την προστασία με κωδική λέξη
2. Η παρουσία --users ενεργοποιεί την προστασία με κωδική λέξη για τον συγκεκριμένο χρήστη. Ο υπερχρήστης έχει πάντοτε πρόσβαση.

1. Το --users "" εξουσιοδοτεί μόνο τον υπερχρήστη
3. Το --users "Γιάννης" εξουσιοδοτεί τον υπερχρήστη και τον "Γιάννης"
4. Το --users Γιάννης,Νίκος εξουσιοδοτεί τον υπερχρήστη και τον "Γιάννης" και τον "Νίκος"

Παραδείγματα:

Όλοι οι χρήστες (Καμία προστασία στοιχείων μενού):

Κώδικας: Επιλογή όλων

menuentry 'Ubuntu, with Linux 3.2.0-24-generic' --class ubuntu -class os --unrestricted {


Μόνο ο υπερχρήστης:

Κώδικας: Επιλογή όλων

menuentry 'Ubuntu, with Linux 3.2.0-24-generic' --class ubuntu -class os --users "" {


Υπερχρήστης + Ελένη:

Κώδικας: Επιλογή όλων

menuentry 'Ubuntu, with Linux 3.2.0-24-generic' --class ubuntu -class os --users Jane {


Υπερχρήστης + Ελένη + Γιάννης:

Κώδικας: Επιλογή όλων

menuentry 'Ubuntu, with Linux 3.2.0-24-generic' --class ubuntu -class os --users Jane,Sergio {

Προσθήκη προστασίας σε στοιχεία GRUB μενού του Ubuntu
Την στιγμή αυτή δεν υπάρχει αυτοματοποιημένη μέθοδος προσθήκης χρηστών η καθορισμού των προς προστασία στοιχείων μενού. Ο χρήστης πρέπει να επεξεργαστεί χειροκίνητα τα αρχεία σεναρίων του GRUB 2. Το μενού του GRUB 2 είναι μια σύνθεση των δεδομένων πολλών αρχείων σεναρίου. Το αρχείο /etc/grub.d/10_linux είναι υπεύθυνο για την προσθήκη του αρχικού Λ.Σ. Ubuntu στο μενού του GRUB 2. Οι οδηγίες που ακολουθούν προσθέτουν αυτόματα προστασία κωδικής λέξης σε όλα τα στοιχεία ή γραμμές της ενότητας 10_linux του μενού GRUB 2. Η πλειονότητα των ενοτήτων αυτών εξυπηρετούν στην επεξεργασία των αρχικών αρχείων σεναρίου του καταλόγου /etc/grub.d/ .

Μια άλλη επιλογή είναι η δημιουργία ενός προσαρμοσμένου μενού, να προσθέσετε τα στοιχεία που επιθυμείτε (συμπεριλαμβανομένων εκείνων που θέλετε να προστατέψετε) και να απενεργοποιήσετε τα τυποποιημένα σενάρια. Οι χρήστες και οι κωδικές λέξεις μπορούν να αποθηκευτούν στο αρχείο αυτά, παρά στο αρχείο 00_header. Αυτός ο τρόπος ενεργοποίησης της προστασίας με κωδική λέξη ίσως είναι ευκολότερος, ιδιαίτερα όταν μόνο μερικά από τα στοιχεία του μενού πρόκειται να προστατευθούν. Ο τρόπος σύνταξης είναι ο ίδιος όπως περιγράφηκε στη σελίδα αυτή, εκτός ότι οι πληροφορίες «cat<<EOF» και «EOF» δεν χρησιμοποιούνται. Για περισσότερες πληροφορίες για τον τρόπο ρύθμισης προσαρμοσμένων μενού ανατρέξτε στην ενότητα GRUb 2/Custom Menu Entries.

Πριν προχωρήσετε στις αλλαγές αυτές συνιστάται να δημιουργήσετε αντίγραφο του αρχείου /etc/grub.d/10_linux σε κάποια άλλη τοποθεσία για λόγους ασφαλείας. Μην αποθηκεύετε το αντίγραφο στον κατάλογο /etc/grub.d/ ώστε να είστε σίγουροι ότι δεν μεταβάλλεται στη διάρκεια ενημερώσεων συστήματος.

Στο αρχείο /etc/grub.d/10_linux εντοπίστε την ακόλουθη γραμμή:

printf "menuentry '${title}' ${CLASS} {\n" "${os}" "${version}"

Προσθέστε την επιλογή --users ' '

printf "menuentry '${title}' ${CLASS} --users '' {\n" "${os}" "${version}"

Αποθηκεύστε το αρχείο και εκτελέστε:

Κώδικας: Επιλογή όλων

sudo update-grub

Η επιλογή --users ' ' θα προστεθεί σε κάθε στοιχείο του μενού που θα εντοπιστεί στην ενότητα «10_linux» του αρχείου grub.cfg.

Σημείωση: Το παρόν έγγραφο δήλωνε σε προηγούμενη έκδοση ότι στην παραπάνω γραμμή printf πρέπει να προστεθεί η επιλογή --users"" (με δύο εισαγωγικά έναντι δύο αποστρόφων):
[alert]printf "menuentry '${title}' ${CLASS} --users "" {\n" "${os}" "${version}"
Εντούτοις η ενέργεια αυτή δημιουργεί το grub.cfg χωρίς τα εισαγωγικά μετά το --users, πράγμα που μπορεί να προκαλέσει δυσλειτουργία του GRUB εμφανίζοντας το αινιγματικό μήνυμα σφάλματος «alloc magic is broken».

Προσθήκη προστασίας σε άλλα στοιχεία
Το μενού του GRUB 2 παρέχει την δυνατότητα επιλογής λειτουργικών συστημάτων άλλων από το αρχικό Ubuntu, μέσω του αρχείου σεναρίου /etc/grub.d/30_os-prober. Οι παρακάτω οδηγίες προσθέτουν αυτόματα προστασία μέσω κωδικής λέξης σε όλα τα στοιχεία μενού της ενότητας 30_os-prober του μενού του GRUB 2. Αυτά μπορούν να περιλαμβάνουν άλλες εγκαταστάσεις Ubuntu και Linux, Windows, κλπ.

Το σενάριο 30_os-prober αναζητά συγκεκριμένους τύπους λειτουργικών συστημάτων. Ο χρήστης μπορεί να κάνει αλλαγές για όλα τα Λ.Σ. μέσω μιας εντολής ή ξεχωριστά για κάποιο Λ.Σ. όπως περιγράφεται παρακάτω.

Πριν προβεί σε αλλαγές ο χρήστης πρέπει να δημιουργήσει αντίγραφο ασφαλείας του αρχείου /etc/grub.d/30_os-prober. Για να αποφύγετε μεταβολές του αντιγράφου στη διάρκεια ενημερώσεων του συστήματος, μην το αποθηκεύετε στον κατάλογο /etc/grub.d/.

Σε όλα τα στοιχεία του 30_os-prober: Ο χρήστης μπορεί να προσθέσει προστασία με κωδική λέξη σε όλα τα στοιχεία που δημιουργούνται στο /etc/grub.d/30_os-prober, εκτελώντας την εντολή που ακολουθεί η οποία προσθέτει την επιλογή --users σε κάθε στοιχείο μενού που εντοπίζεται στο αρχείο. Εναλλακτικά, ο χρήστης μπορεί να χρησιμοποιήσει τα επεκτεινόμενα στοιχεία του μενού ώστε να κάνει αλλαγές μόνο σε συγκεκριμένα λειτουργικά συστήματα, όπως περιγράφεται παρακάτω.

Για δημιουργία αντιγράφου ασφαλείας και ενεργοποίησης της προστασίας με κωδική λέξη για όλα τα στοιχεία του /etc/grub.d/30_os-prober:

Κώδικας: Επιλογή όλων

sudo cp /etc/grub.d/30_os-prober /root/Desktop/30_os-prober
sudo sed 's/--class os /--class os --users /' -i /etc/grub.d/30_os-prober

Επιλεγμένα στοιχεία Λ.Σ.
Για ενεργοποίηση της προστασίας με κωδική λέξη μόνο για συγκεκριμένο τύπο λειτουργικού συστήματος, προσθέστε την επιλογή --users αμέσως μετά το «--class os».
Παράδειγμα OSX: menuentry "${LONGNAME} (${2}-bit) (on ${DEVICE})" --class osx --class darwin --class os --users {
OSX:
menuentry "${LONGNAME} (${2}-bit) (on ${DEVICE})" --class osx --class darwin --class os {
Windows:
menuentry "${LONGNAME} (on ${DEVICE})" --class windows --class os {
Linux/Ubuntu:
menuentry "${LLABEL} (on ${DEVICE})" --class gnu-linux --class gnu --class os {
Hurd:
menuentry "${LONGNAME} (on ${DEVICE})" --class hurd --class gnu --class os {

Αποθηκεύστε το αρχείο και εκτελέστε:

Κώδικας: Επιλογή όλων

sudo update-grub

Προστασία του διαμερίσματος ανάκτησης του Windows
Υπάρχει η δυνατότητα προστασίας με κωδική λέξη μόνον ενός συγκεκριμένου διαμερίσματος. Ένα προφανές παράδειγμα είναι η κατάτμηση ανάκτησης για το Windows. Αν και η ιδέα αυτή μπορεί να εφαρμοστεί και σε άλλες ενότητες Λ.Σ. του αρχείου 30_os-prober ή ακόμη και του σεναρίου 10_linux, θα περιγραφούν μόνο οι γραμμές που αναζητούν για το Λ.Σ. Windows. Μπορεί να προστατευθεί κάθε κατάτμηση Widnows με τον ίδιο τρόπο, προσδιορίζοντας το διαμέρισμα.

Σημείωση: Η τεχνική αυτή θα δουλέψει μόνο αν το μενού του GRUB 2 αναγνωρίζει πολλαπλά διαμερίσματα Windows και ένα από αυτά είναι το διαμέρισμα ανάκτησης. Αν ο GRUB 2 αναγνωρίζει μόνο ένα διαμέρισμα Windows λόγω αλυσιδωτής φόρτωσης των μενού του, μόνο το σύνολο του Windows μπορεί να προστατευθεί.

Αν ο χρήστης επιθυμεί να ορίσει προστασία με κωδική λέξη μόνο σε κάποιο διαμέρισμα Windows, ας ακολουθήσει τις προηγούμενες οδηγίες και έπειτα:

1. Να καθορίσει το διαμέρισμα ανάκτησης Windows (sda1, sda2, κλπ). Να αλλάξει τα sdXY με τις σωστές τιμές.
2. Στο αρχείο /etc/grub.d/30_os-prober:
Να αλλάξει τα:


Κώδικας: Επιλογή όλων

cat << EOF

menuentry "${LONGNAME} (on ${DEVICE})" --class windows --class os {

EOF



Σε:


Κώδικας: Επιλογή όλων

if [ ${DEVICE} = "/dev/sdXY" ]; then

cat << EOF

menuentry "${LONGNAME} (on ${DEVICE})" --users "" {

EOF

else

cat << EOF

menuentry "${LONGNAME} (on ${DEVICE})" {

EOF

fi

Αποθηκεύστε το αρχείο και εκτελέστε:

Κώδικας: Επιλογή όλων

sudo update-grub

Κρυπτογράφηση της κωδικής λέξης
Η κρυπτογράφηση της κωδικής λέξης προστασίας είναι διαθέσιμη σε όλες τις εκδόσεις του GRUB 2 αλλά έχει βελτιωθεί στο GRUB 2 1.99.

Ένα από τα μειονεκτήματα της ρύθμισης της κωδικής λέξης που συζητήσαμε έως τώρα είναι ότι, οι κωδικές λέξεις εισάγονται στα αρχεία του GRUB 2 ως απλά κείμενα. Το επίπεδο ασφαλείας μπορεί να αυξηθεί κατά πολύ χρησιμοποιώντας την εντολή του GRUB 2 grub-mkpasswd-pbkdf2. Η εντολή αυτή μετατρέπει την επιθυμητή κωδική λέξη σε ένα πολύ μεγάλο αλφαριθμητικό το οποίο τοποθετείται στα αρχεία του GRUB 2. Στα αρχεία σεναρίου του GRUB 2 η κωδική λέξη δεν είναι πλέον ορατή. Παρότι με φυσική πρόσβαση στον υπολογιστή μπορεί να παρακαμφθεί το μενού του GRUB 2, η κρυπτογράφηση καθιστά την ανάκτηση των κωδικών λέξεων του μενού πολύ δύσκολη για κάποιον περιστασιακό χάκερ.

Αξίζει να επαναλάβουμε: Οι χρήστες που πειραματίζονται με τις κωδικές λέξεις του GRUB 2 πρέπει να αφήσουν ένα στοιχείο μενού χωρίς προστασία με κωδική λέξη και να ορίσουν τον χρόνο λήξη του μενού τουλάχιστον στο ένα δευτερόλεπτο μέχρι να ολοκληρώσουν τους πειραματισμούς τους. Με τον τρόπο αυτό ο χρήστης θα μπορεί να εκκινήσει τον υπολογιστή του χωρίς να απαιτείται κωδική λέξη και να επιδιορθώσει προβληματικές ρυθμίσεις.

1. Για να δημιουργήσετε μια κρυπτογραφημένη κωδική λέξη ανοίξτε ένα τερματικό και εκτελέστε την ακόλουθη εντολή:

Κώδικας: Επιλογή όλων

grub-mkpasswd-pbkdf2

2. Εισάγετε την επιθυμητή κωδική λέξη δύο φορές, όταν σας ζητηθεί.

1. Αντιγράψτε το αποτέλεσμα. Επιλέξτε τον παραγόμενο κώδικα και πατήστε τον συνδυασμό CTRL-SHIFT-c για να αντιγραφεί στην πρόχειρη μνήμη. Αν επιλέγετε τον παραγόμενο κώδικα με ποντίκι, μπορείτε αυτόματα να τον αποθηκεύσετε στη μνήμη και να τον επικολλήσετε πατώντας το μεσαίο πλήκτρο του ποντικιού.
2. Επικολλήστε τον κώδικα μετά τα ονόματα των χρηστών ή του χρήστη. Την επικόλληση μπορείτε να την κάνετε μέσα σε ένα πρόγραμμα σύνταξης κειμένου είτε με τον συνδυασμό CTRL-v είτε με το μεσαίο πλήκτρο του ποντικιού.
3. Η μορφή της γραμμής μιας κωδικής λέξης στο αρχείο /etc/grub.d/00_header μπορεί να μοιάζει ως εξής (το παράδειγμα είναι συντετμημένο)


Κώδικας: Επιλογή όλων

set superusers="John"

password_pbkdf2 John grub.pbkdf2.sha512.10000.FC58373BCA15A797C418C1EA7FFB007BF5A5