Proteggere GRUB2 con password su Ubuntu
La protezione di base è integrata nel bootloader e può essere applicata onde evitare modifiche sgradite ai parametri d'avvio
Qualche tempo fa vi abbiamo illustrato un buon metodo per ripristinare la password di Ubuntu nel caso la si fosse dimenticata, agendo direttamente sul bootloader GRUB2 (che in alcuni casi può permettere l’accesso ad una shell single-user).
Come è giusto e lecito chiedersi – e come infatti il nostro lettore giupardeb, che ringraziamo per l’ispirazione, ci ha di fatto chiesto -, bisognerebbe anche conoscere un modo per evitare che ciò accada. Ad esempio, un utente malintenzionato potrebbe ritrovarsi faccia a faccia col vostro computer e decidere di modificare la password di Ubuntu per accedere ai vostri file privati in vostra assenza e, anche se provvisoriamente, “chiudervi fuori” dal vostro sistema.
Questo metodo esiste e corrisponde al proteggere GRUB2 con password, limitando non soltanto l’accesso ai sistemi operativi ma anche alle modifiche dei parametri d’avvio tramite riga di comando, così che la guida che vi abbiamo segnalato per ripristinare la password di Ubuntu non possa essere utilizzata se non si conosce quella di GRUB2.
La guida è stata testata su Ubuntu ma può essere utilizzata in maniera simile su tutte le altre distribuzioni che utilizzano GRUB2 come bootloader.
Proteggere GRUB2 con password
Scelta password e (opzionale) cifratura
La prima cosa da fare è scegliere un nome utente ed una password, entrambi arbitrari (non c’è bisogno che coincidano con le credenziali di accesso al sistema), che andremo a specificare nel file di configurazione di GRUB2. E’ possibile specificare, nel file di configurazione, sia la password in chiaro che un hash della password scelta; per questioni di sicurezza vi suggeriamo di preferire la seconda opzione, tuttavia vi illustreremo entrambi i metodi.
Supponiamo di aver scelto come utente malefika e come password 123pippo. Se avete intenzione di utilizzare la password in chiaro potrete saltare direttamente alla modifica del file di configurazione, altrimenti dovrete generare l’hash della password scelta. Per farlo, da terminale, digitate
grub-mkpasswd-pbkdf2
seguito da Invio: quando richiesto digitate la password scelta e date invio e digitatela una seconda volta per sicurezza (dando ancora invio); il sistema genererà un hash del tipo grub.pbkdf2.sha512.qualcosa_di_molto_lungo. Annotate l’intero hash, vi servirà tra breve.
Modifica del file di configurazione
Per prima cosa create un backup (non eseguibile, che quindi non sarà letto da GRUB2) del file che andremo a modificare. Aprite un terminale e digitate
sudo cp /etc/grub.d/40_custom /etc/grub.d/40_custom.bak sudo chmod a-x /etc/grub.d/40_custom.bak
Aprite in modifica il file di configurazione originale di GRUB2, digitando
sudo xdg_open /etc/grub.d/40_custom
dopodiché recatevi alla fine del file, andate a capo rigo e, se avete scelto di utilizzare la password in chiaro, scrivete nel file quanto segue:
set superusers="nome_utente_scelto" password nome_utente_scelto password_scelta
Che, nel nostro esempio, diventa
set superusers="malefika" password malefika 123pippo
Se invece avete scelto di utilizzare la password cifrata, il codice da specificare all’interno del file sarà
set superusers="nome_utente_scelto" password_pbkdf2 nome_utente_scelto hash_annotato_in_precedenza
Che, nel nostro esempio, diventa simile a
set superusers="malefika" password_pbkdf2 malefika grub.pbkdf2.sha512.12380dbvbhwecceteraeccetera
Salvate il file così modificato e chiudete l’editor.
Salvataggio delle modifiche
Ora non vi resterà che aggiornare la configurazione di GRUB2 per rendere operativi il nome utente e la password scelta; per farlo, digitate da terminale
sudo update-grub2
seguito da Invio, stando attenti ad eventuali segnalazioni d’errore. A questo punto riavviate il computer: vi sarà chiesta una password sia per avviare i vari sistemi operativi che per accedere alle opzioni da linea di comando.
In pratica, il vostro GRUB2 sarà completamente protetto da accessi esterni.
Considerazioni finali
Con alcune piccole modifiche al procedimento qui descritto, è possibile proteggere anche solo l’avvio di determinati sistemi operativi oppure di definire diversi livelli di utenza, e dunque di protezione. Tali accorgimenti sono però fuori dallo scopo di questa guida, pertanto vi rimandiamo alla pagina Wiki di Ubuntu per ulteriori informazioni.
LINK | Grub2/Passwords (Ubuntu Wiki)