4. 2. Защита BIOS и загрузчика системы
Установка пароля на загрузку системы
Защита паролем BIOS (или аналога) и загрузчика системы может помешать неавторизованным пользователям, имеющим физический доступ к компьютеру, загрузить его со сменного носителя или стать пользователем root в монопольном режиме. Но меры безопасности, принимаемые для защиты от таких атак, должны зависеть от важности информации, хранящейся в компьютере и его расположения.
Например, если компьютер работает на торговой выставке и не содержит важной информации, наверное, бояться таких атак не стоит. Однако если на той же выставке без присмотра оставлен ноутбук сотрудника с личными незашифрованными ключами SSH для корпоративной сети — это огромная брешь в системе безопасности всей компании со всеми вытекающими последствиями.
С другой стороны, если компьютер расположен там, где к нему имеют доступ только сотрудники или доверенные лица, защита BIOS или загрузчика системы может быть вовсе не нужна.
Есть две основные причины защиты паролем BIOS компьютера [1] :
Предотвратить изменение настроек BIOS — Если взломщик имеет доступ к BIOS, он может настроить загрузку с дискеты или компакт-диска. Это позволит ему войти в монопольный режим или режим восстановления, после чего он сможет внедрить в систему вредоносные программы или скопировать важные данные.
Предотвратить загрузку системы — В некоторых BIOS загрузку системы также можно защитить паролем. Если эта защита включена, взломщику нужно будет ввести пароль, прежде чем BIOS запустит загрузчик системы.
Так как пароль BIOS на компьютерах разных производителей задаётся по-разному, за точными инструкциями обратитесь к руководству по использованию компьютера.
Если вы забыли пароль BIOS, его можно сбросить либо перемычками на материнской плате, либо, отсоединив батарею CMOS. Поэтому, хорошей практикой считается закрытие корпуса компьютера на замок, если это возможно. Однако прежде чем делать это, обратитесь к руководству по использованию компьютера или материнской платы.
В других архитектурах для выполнения низкоуровневых задач используются свои программы, отдалённо напоминающие BIOS в компьютерах x86. Например, в компьютерах Intel ® Itanium ™ используется Расширяемый интерфейс микропрограмм ( Extensible Firmware Interface — EFI ).
За инструкциями по защите паролем BIOS-подобных программ на других платформах обратитесь к документации производителя.
Загрузчик системы Linux обычно защищается паролем по следующим соображениям:
Предотвращение доступа к монопольному режиму — Если взломщик может загрузиться в режиме одного пользователя, он может стать пользователем root.
Предотвращение доступа к консоли GRUB — Если в качестве загрузчика на компьютере используется GRUB, взломщик может воспользоваться редактором GRUB для изменения его настроек или сбора информации с помощью команды cat .
Предотвращение доступа к небезопасным операционным системам — Если на компьютере установлено несколько систем, взломщик сможет выбрать при загрузке другую систему, например, DOS, в которой игнорируются права доступа и разрешения для файлов.
В состав Red Hat Enterprise Linux для платформы x86 входят два загрузчика, GRUB и LILO. Более подробно эти загрузчики рассматриваются в главе Загрузчики Справочного руководства Red Hat Enterprise Linux .
Получив приглашение, введите пароль GRUB и нажмите [Enter] . В ответ вы получите MD5-хэш пароля.
Затем отредактируйте файл конфигурации GRUB /boot/grub/grub.conf . Откройте файл и найдите в основном разделе ниже строки timeout следующую строку:
password —md5 <password-hash>
Замените <password-hash> значением, возвращённым командой /sbin/grub-md5-crypt [2] .
При следующей загрузке системы меню GRUB не даст вам вызвать редактор или командную строку, если вы не нажмёте сначала [p] и не введёте затем пароль GRUB.
К сожалению, это решение не помешает взломщику в окружении с несколькими системами загрузить небезопасную операционную систему. Чтобы исправить и это, надо изменить другую часть файла /boot/grub/grub.conf .
Найдите строку title небезопасной операционной системы и добавьте прямо под ней строку lock .
Для системы DOS эта строфа примет примерно такой вид:
Предупреждение | ||
---|---|---|
Важно | |
---|---|
Предупреждение |
---|
[1] |