Poner contraseña al Menú del Grub

El gestor de arranque Grub en Guadalinex viene configurado de serie de forma que permite arrancar el Sistema en el “modo recovery” sin pedir la contraseña de root (administrador), con lo que tiene eso de inseguro, ya que una vez en el recovery mode puedes actuar como root sin que se te haya pedido ninguna contraseña, y también lo inseguro que desde la misma pantalla del menú del grub se puedan editar las líneas de arranque. Para evitar esto, tienes la posibilidad de proteger Grub con su propia contraseña, o con la misma de root: 1- poniendo una contraseña que evite la edición del propio menú 2- poniendo una contraseña que bloquee el acceso al modo recovery y/o a cualquiera de las otras líneas del menú 3- bloqueando totalmente el acceso, sin posibilidad de desbloquearlo con una contraseña, a alguna de las opciones del menú del grub.  Si has instalado guadalinex en un pendrive este método lo puedes usar también en él, dificultara el acceso a tus archivos personales si se te pierde.

Grub soporta dos formas diferentes para añadir una contraseña de acceso: la primera usa texto sin cifrado, y la segunda utiliza cifrado md5.  También se puede bloquear una entrada concreta del menú del Grub, con el comando “lock”.
Para ponerle una contraseña debes editar (como root) el fichero /boot/grub/menu.lst de la siguiente forma:

1- Poner contraseña al Menú del Grub: justo antes del title del primer menú añades la línea: password xxx ( Donde xxx es  una contraseña en modo texto) o la línea password –xxx ( donde xxx es una contraseña cifrada ). Para esto último en una consola y como root escribimos el siguiente comando
# grub-md5-crypt
Te pedirá una contraseña y su verificación (en nuestro ejemplo es “usuario22n” ), como resultado te dará unos caracteres ( en el ejemplo: $1$f/Nfq$1YrrUM0adYBh/xHCj2UEB1  ) ,los copias,los pegas en el fichero /boot/grub/menu.lst antes de la lista de entradas de arranque añade:
password –$1$f/Nfq$1YrrUM0adYBh/xHCj2UEB1
Con esto ya tienes el menú grub con contraseña, de forma que no te aparece la posibilidad de editarlo ( tecleando “e” ) si antes no pones la contraseña, tecleando “p”.

2- Poner una contraseña a una entrada concreta del Menú del Grub: Si quieres que por ejemplo la entrada al modo recovery tenga también una contraseña, pones la línea: password xxx entre la línea title y la línea root. En este caso recomiendo poner una contraseña en modo texto, y que sea la misma del root para no tener que recordar mas contraseñas. Se puede poner de la misma forma contraseñas a las demás líneas del menú del grub.

3- Bloquear una entrada concreta del menú del Grub: con el comando “lock“: por ejemplo para impedir que se pueda ejecutar la línea del ménu “memtest86+” lo que se hace es poner entre la línea de title y la de root, el comando lock. Se puede bloquear la entrada de la misma forma a las demás líneas del menú del grub.

4- Ejemplo en mi menú del grub:  lo que tengo puesto es:
- una contraseña cifrada para impedir que se pueda editar el menú del grub    ( esta  contraseña es más segura que la contraseña en modo texto, y no necesito acordarme de ella, pues si necesitase editar el menú del grub no lo haría desde esa pantalla, sino una vez funcionando el sistema )
- una contraseña en modo texto ( la misma que la contraseña de root, para no tener que acordarme de mas contraseñas) , para impedir bajo contraseña el acceso al modo recovery.
- un bloqueo total al modo “memtest86+”, con el comando lock

Ejemplo de una parte de mi /boot/grub/menu.lst:

##splashimage=(hd0,1)/boot/grub/splah.xpm.gz
password –$1$f/Nfq$1YrrUM0adYBh/xHCj2UEB1
title        Guadalinex V5, kernel 2.6.24-19-generic
root        (hd0,1)
kernel        /boot/vmlinuz-2.6.24-19-generic root=UUID=2b2f1a9a-e73b-4750-a41a-bde927a8e141 ro quiet splash locale=es_ES
initrd        /boot/initrd.img-2.6.24-19-generic
quiet

title        Guadalinex V5, kernel 2.6.24-19-generic (recovery mode)
password usuario22n
root        (hd0,1)
kernel        /boot/vmlinuz-2.6.24-19-generic root=UUID=2b2f1a9a-e73b-4750-a41a-bde927a8e141 ro single
initrd        /boot/initrd.img-2.6.24-19-generic

title        Guadalinex V5, memtest86+
lock
root        (hd0,1)
kernel        /boot/memtest86+.bin
quiet

5- Poner contraseña usando un programa gráfico:
Hay un paquete que se llama “starupmanager” (se puede instalar desde synaptic) que sirve para modificar estas opciones si no se quiere hacer editando el archivo /boot/grub/menu.lst.
Ejecutar con alt+f2: su-to-root -X -c /usr/sbin/startupmanager ( o desde en Sistema-Administración-Adminsitrador de Arranque -nos pide la contraseña de root- y en la pestaña seguridad se puede poner contraseña 1- al cargador de arranque  2- al modo recovery  3- a las opciones antiguas de arranque.

6- Deshacer el camino si se nos olvidan estas contraseñas:
Si nos olvidamos de estas contraseñas no podremos editar el menú del grub o entrar en la parte que hayamos bloqueado con contraseña, para restaurar a la situación sin contraseñas, tendremos que iniciar el pc desde un cd live de guadalinex, y desde ahi editar de forma inversa el archivo /boot/grub/menu.lst del sistema ( cuidado no editar el /boot/grub/menu.lst  del cd live, ya que si editáramos éste no quitaríamos las contraseñas al menú del grub del sistema instalado en el disco duro )

Si quieres saber más sobre Grub

—————————————

Si te gusta este Blog puedes ver: Odontología Solidaria. Si te interesa puedes entrar en esa página y en ella encontraras mas información, y también la forma de colaborar económicamente, haciéndote socio-colaborador, o aportando una cantidad económica, que en ambos casos puedes desgravar ante hacienda. También puedes ver los temas sobre Odontología Solidaria-Valencia.

Desde aquí puedes bajarte los estatutos de la ONG.

Hacer que siempre pida la contraseña…

cuando se ejecuta un programa con permisos de root:

Por defecto la contraseña introducida por sudo tiene una validez de 15 minutos, durante los cuales se pueden ejecutar programas que normalmente requieren la contraseña de root, sin que te la pida, pero se puede cambiar ésto y hacer que la pida siempre que ejecutamos algún programa con permisos de root , aunque ejecutemos dos programas de root uno a continuación de otro ( por ejemplo synaptic, y luego terminal de root, etc ); Este cambio se recomienda porque de esta forma el sistema queda lógicamente, algo más seguro. Para hacerlo, hay que editar el archivo /etc/sudoers y, debajo de la línea que comienza por “Defaults”, añadir otra que diga:

Defaults:usuario timestamp_timeout=0

Cambiando usuario, por el nombre de usuario al que queramos aplicarle la modificación.
Y mucho cuidado, observad, sobre todo, que entre “Defaults:” y “usuario” NO hay ningún espacio en blanco.

Para realizar esto hay que seguir los siguientes pasos:
1- abrir nautilus con permisos de root:  alt+f2      gksu nautilus
2- seleccionar el archivo /etc/sudoers y cambiar los permisos para que sean de lectura y escritura para root
3- abrir con gedit el archivo /etc/sudoers  y añadirle la línea indicada arriba
4- guardar los cambios  y cerrar el archivo
5- volver a cambiar los permisos del archivo para que sean de solo lectura para el usuario root y para el grupo root, y ninguno para otros.
6- cerrar nautilus

A partir de ahora siempre y cada vez que ejecutemos algún programa que requiera permisos de root nos pedirá la contraseña de root.

Si te equivocas en alguno de los pasos, es posible que no puedas ejecutar ningún programa con permisos de root ( tampoco podrás ejecutar nautilus con permisos de root para solucionar el problema), por lo que para arreglar el problema lo que tendrás que hacer es reiniciar el pc pero esta vez iniciando el sistema en “modo recovery” y al llegar a la línea de comandos ( cuando te aparezca el signo $ ) teclear startx para que se inicie el entorno gráfico, y luego repetir los pasos. Una vez lo hayas hecho con el sistema en modo recovery, ya puedes volver a reiniciar el sistema en modo normal, y debería funcionar todo de forma correcta, pidiéndote siempre la contraseña al ejecutar un programa con permisos de root.

———————–

Una contraseña “segura” debería tener al menos 8 o mas signos, no ser una palabra que este en ningún diccionario, tener mezcla de números, letras en mayúscula, minúscula y signos (=?@)

———————–

Si te gusta este Blog puedes ver: Odontología Solidaria. Si te interesa puedes entrar en esa página y en ella encontraras mas información, y también la forma de colaborar económicamente, haciéndote socio-colaborador, o aportando una cantidad económica, que en ambos casos puedes desgravar ante hacienda. También puedes ver los temas sobre Odontología Solidaria-Valencia.

Desde aquí puedes bajarte los estatutos de la ONG.