如何防止他人使用 Live CD 重置我的密码？

Question

最近，我的一个朋友来到我家，在 15 分钟内，他使用 Live CD 入侵了我的帐户，并在我面前重置了密码。看到这样的事情，我感到很困惑。请指导我防止将来使用 Live CD 进行此类尝试。

Answer 1

一种快速简便的方法是在 BIOS 中禁用从 CD 和 USB 记忆棒引导并设置 BIOS 密码。

根据这个维基页面：

放置密码或锁定菜单项（在 Grub 配置文件中）不会阻止用户使用在 grub 命令行输入的命令手动引导。

但是，没有什么可以阻止某人窃取您的硬盘驱动器并将其安装在另一台机器上，或者通过取出电池来重置您的 BIOS，或者攻击者在物理访问您的机器时可以使用的其他方法之一。

更好的方法是加密您的驱动器，您可以通过加密您的主目录或加密整个磁盘来做到这一点：

• 如何加密我的主分区？
• https://help.ubuntu.com/community/FullDiskEncryptionHowto

Answer 2

站在你的电脑旁边，拿着一个发球台球棒。严重击败任何接近的人。

或者把它锁起来。

如果您的计算机可以物理访问，则它是不安全的。

Answer 3

首先警告...

grub2 密码保护程序可能非常棘手，如果你弄错了，就有可能让自己处于不可启动的系统中。因此，始终首先对您的硬盘进行完整的映像备份。我的建议是使用Clonezilla -也可以使用另一种备份工具，例如PartImage。

如果你想练习这个 - 使用可以回滚快照的虚拟机来宾。

让我们开始

下面的过程保护在启动时对 Grub 设置的未经授权的编辑——也就是说，按e编辑允许您更改启动选项。例如，您可以强制启动到单用户模式，从而可以访问您的硬盘。

此过程应与硬盘加密和安全 bios 引导选项结合使用，以防止从 live cd 引导，如该问题的相关答案中所述。

几乎所有下面的内容都可以一次复制和粘贴一行。

首先让我们备份我们将要编辑的 grub 文件 - 打开一个终端会话：

sudo mkdir /etc/grub.d_backup
sudo cp /etc/grub.d/* /etc/grub.d_backup

让我们为 grub 创建一个用户名：

gksudo gedit /etc/grub.d/00_header &

滚动到底部，添加一个新的空行并复制并粘贴以下内容：

cat << EOF
set superusers="myusername"
password myusername xxxx
password recovery 1234
EOF

在这个例子中创建了两个用户名：myusername和recovery

接下来 - 导航回终端（不要关闭gedit）：

仅限 Natty 和 Oneiric 用户

通过键入生成加密密码

grub-mkpasswd-pbkdf2

输入您将在提示时使用两次的密码

Your PBKDF2 is grub.pbkdf2.sha512.10000.D42BA2DB6CF3418C413373CD2D6B9A91AE4C0EB4E6AA20F89DFA027CA6E6CBF3542CB39E951607E9D651D82700AF47884929BDD193E36CB262CC96201B5789AA.1A9B0033928E3D3D0338583A5BF13AF7D5CC6EC5A41456F8FE8D8EBEB7A093CD0A0CE8688949E6007188ECB3FB0FF916F258602D130CF5C8525FB318FBBE2646

我们感兴趣的那一点开始grub.pbkdf2...和结束BBE2646

使用鼠标突出显示此部分，右键单击并复制它。

切换回您的gedit应用程序 - 突出显示文本“xxxx”并将其替换为您复制的内容（右键单击并粘贴）

即这条线应该看起来像

password myusername grub.pbkdf2.sha512.10000.D42BA2DB6CF3418C413373CD2D6B9A91AE4C0EB4E6AA20F89DFA027CA6E6CBF3542CB39E951607E9D651D82700AF47884929BDD193E36CB262CC96201B5789AA.1A9B0033928E3D3D0338583A5BF13AF7D5CC6EC5A41456F8FE8D8EBEB7A093CD0A0CE8688949E6007188ECB3FB0FF916F258602D130CF5C8525FB318FBBE2646

所有'buntu 版本（清醒及以上）

保存并关闭文件。

最后，您需要密码保护每个 grub 菜单条目（所有文件以menuentry 开头）：

cd /etc/grub.d
sudo sed -i -e '/^menuentry /s/ {/ --users myusername {/' *

这将为--users myusername每一行添加一个新条目。

运行 update-grub 来重新生成你的 grub

sudo update-grub

当您尝试编辑 grub 条目时，它会询问您的用户名，即myusername和您使用的密码。

重新启动并测试在编辑所有 grub 条目时是否强制执行用户名和密码。

NB 记得SHIFT在启动时按下来显示你的 grub。

密码保护恢复模式

使用恢复模式可以轻松解决上述所有问题。

幸运的是，您还可以强制输入用户名和密码以使用恢复模式菜单项。在本答案的第一部分中，我们创建了一个名为recovery的额外用户名，密码为1234。要使用此用户名，我们需要编辑以下文件：

gksudo gedit /etc/grub.d/10_linux

将行从：

printf "menuentry '${title}' ${CLASS} {\n" "${os}" "${version}"

到：

if ${recovery} ; then
   printf "menuentry '${title}' --users recovery ${CLASS} {\n" "${os}" "${version}"
else
   printf "menuentry '${title}' ${CLASS} {\n" "${os}" "${version}"
fi 

使用恢复时使用用户名恢复和密码1234

运行sudo update-grub以重新生成您的 grub 文件

重新启动并测试在尝试启动到恢复模式时是否要求您输入用户名和密码。

更多信息 - http://ubuntuforums.org/showthread.php?t=1369019

Answer 4

重要的是要记住，如果有人可以物理访问您的机器，他们将始终能够对您的 PC 执行操作。无论如何，诸如锁定 PC 机箱和 BIOS 密码之类的事情都不会阻止有决心的人拿走您的硬盘驱动器和数据。