mitigação de ataques de grub

Question

Eu quero desabilitar o ataque de modo de cantar executado no nível do grub, passando parâmetros do kernel.

Eu conheço uma solução que está colocando a senha & amp; bios password.but Quero saber, sem colocar uma senha, não podemos desativar o ataque no modo de usuário único.

    

Answer 1

Se o atacante tiver acesso físico ao sistema, o que eles precisam para alterar os parâmetros do kernel, é uma causa perdida sem criptografia.

No entanto, eu acho que você pode limitar esse método específico ( init=/arbitrary/command ), comentando essas linhas em a fonte do kernel , e compilando seu próprio kernel:

if (execute_command) {
    ret = run_init_process(execute_command);
    if (!ret)
        return 0;
    panic("Requested init %s failed (error %d).",
          execute_command, ret);
}

Eu não testei, então não há garantias.

Relacionados:

• Por que o Linux permite init=/bin/bash ?
• Discussão da Red Hat Mailing List

Answer 2

Além de criptografar totalmente sua partição raiz (com uma partição de inicialização separada, obviamente), você pode fazer muito pouco para evitar um ataque de alguém que tenha acesso físico ao sistema.

Acesso físico == acesso root.