Установка и изменение пароля на загрузчик

Для смены пароля системного загрузчика необходимо сгенерировать хеш нового пароля и заменить им старый хеш:

1. Для генерации хеша выполнить команду и дважды ввести новый пароль:

   grub-mkpasswd-pbkdf2

   Полученный хеш (начиная со слова grub) скопировать в буфер (например, выделив его с помощью мыши, и нажав правую кнопку мыши выбрать "копировать");
   
   

2. Открыть в редакторе с правами суперпользователя файл /etc/grub.d/07_password (создать такой файл, если его нет). Например, для редактирования с помощью редактора nano можно воспользоваться командой:

   sudo nano /etc/grub.d/07_password

3. В результате редактирования должен получиться текст вида:

   #!/bin/bash

   cat << EOF
   set superusers="username"
   password_pbkdf2 username grub.pbkdf2.sha512.10000.9C319610666...........
   EOF

   Цветом условно обозначены имя пользователя (красный) и сгенерированный кеш (зеленый), в реальном редакторе цветовых обозначений нет.
   
   

4. Сохранить файл, и выйти из редактора (для редактора nano - Ctrl+x - Y - Enter);
   
   

5. Установить права доступа к созданному новому файлу, разрешив его выполнение:

   sudo chmod 700 /etc/grub.d/07_password

6. Для того, чтобы сделанные  изменения вступили в силу обновить загрузчик командой:

   sudo update-grub

   Возможно отключить запрос пароля grub, например для записи Windows. Для этого в /boot/grub/grub.cfg где --class os добавить --unrestricted

Запрет загрузки в режиме восстановления. Таймаут ожидания выбора при загрузке.

Для того, чтобы запретить варианты загрузки в режиме восстановления:

1. С правами суперпользователя открыть в редакторе файл /etc/default/grub:

   sudo nano  /etc/default/grub

2. Раскомментировать строку:

   GRUB_DISABLE_RECOVERY="true"

3. Дополнительно в этом же файле можно уменьшить время ожидания при выборе варианта загрузки (по умолчанию - 5 секунд), например, совсем скрыв меню (в таком случае в меню НЕЛЬЗЯ будет попасть, зажав при загрузке клавишу Shift, и возможности выбора ОС/ядра не будет):

   GRUB_TIMEOUT=0

4. Для скрытия загрузчика с сохранением возможности переключения клавишей Shift на этап выбора ОС/ядра к параметру GRUB_TIMEOUT=0 добавить GRUB_HIDDEN_TIMEOUT=5:

   GRUB_TIMEOUT=0
   GRUB_HIDDEN_TIMEOUT=5

5. Сохранить изменения, выйти из редактора;

6. Для того, чтобы эти изменения вступили в силу обновить загрузчик командой:

   sudo update-grub

Пункты меню, позволяющие выбрать для загрузки режим восстановления, можно убрать из меню и путем редактирования файла /boot/grub/grub.cfg (см. ниже, но эти изменения не будут сохраняться после выполнения команды обновления загрузчика update-grub.

Запрет выбора загрузки ядра GENERIC

Для того, чтобы запретить все варианты загрузки, кроме варианта HARDENED:

1.  С правами суперпользователя открыть в редакторе файл /boot/grub/grub/grub.cfg:

   sudo nano /boot/grub/grub.cfg

2. Закомментировать ненужные блоки кода, начинающиеся с menuentry, например:

   #menuentry 'AstraLinuxCE GNU/Linux, с Linux 4.15.3-1-generic' --class astralinuxce --class gnu-linux --class gnu --class os --unrestricted $menuentry_id_option 'gnulinux-4.15.3-1-generic-advanced-f923f219-185e-4747-9066-6b09fd0103ae' {
   #    load_video
   #    insmod gzio
   #    if [ x$grub_platform = xxen ]; then insmod xzio; insmod lzopio; fi
   #    insmod part_msdos
   #    insmod ext2
   #    set root='hd0,msdos1'
   #    if [ x$feature_platform_search_hint = xy ]; then
   #      search --no-floppy --fs-uuid --set=root --hint-bios=hd0,msdos1 --hint-efi=hd0,msdos1 --hint-baremetal=ahci0,msdos1  f923f219-185e-4747-9066-6b09fd0103ae
   #    else
   #      search --no-floppy --fs-uuid --set=root f923f219-185e-4747-9066-6b09fd0103ae
   #    fi
   #    echo    'Загружается Linux 4.15.3-1-generic …'
   #    linux    /boot/vmlinuz-4.15.3-1-generic root=UUID=f923f219-185e-4747-9066-6b09fd0103ae ro  quiet net.ifnames=0
   #    echo    'Загружается начальный виртуальный диск …'
   #    initrd    /boot/initrd.img-4.15.3-1-generic
   #}

   
   

Настройка выбора ядра для загрузки

Для указания ядра, загружаемого по умолчанию:

1. В файле /etc/default/grub указать загружаемое по умолчанию ядро в параметре GRUB_DEFAULT:

   GRUB_DEFAULT="linux-image-<версия_ядра>"

   например:

   GRUB_DEFAULT="linux-image-5.15.0-33-hardened"

2. Обновить параметры загрузчика:

   sudo update-grub