Переименование учетной записи root

НЕ РЕКОМЕНДУЕТСЯ. Но если вы действительно этого хотите, используйте sudo vipw и sudo vipw -s для переименования «root» в файлах /etc/passwd и /etc/shadow соответственно. Вот и все. к ядру, root - любой пользователь с UID 0 (по крайней мере, это понимание моего новичка). Обратите внимание, что если вы это сделаете, sudo -i больше не работает, но sudo -u xyz -i делает и все равно бросает вас в корневую подсказку.

Защита доступа к консоли

1. Физически заблокируйте корпус ПК, чтобы он не был открыт.
2. Предотвратите загрузку компьютера другими устройствами. В BIOS отредактируйте последовательность загрузки, чтобы она загружала только жесткий диск (а не CD, USB-устройство и т. Д.). Затем установите пароль BIOS, чтобы кто-то не редактировал последовательность загрузки.
3. Отключите режим восстановления в Grub. Отредактируйте файл /etc/default/grub. Раскомментируйте строку:

   #GRUB_DISABLE_LINUX_RECOVERY="true"
   

4. Добавьте суперпользователя Grub. Это имеет побочный эффект, позволяющий пользователям, не прошедшим проверку подлинности, от редактирования загрузочных строк (например, добавление параметра single для загрузки в однопользовательский режим и получение root). Во-первых, введите пароль, который вы хотите использовать для учетной записи суперпользователя Grub:

   grub-mkpasswd-pbkdf2
   

   Затем добавьте суперпользователя в конфигурацию Grub, добавив следующие строки к /etc/grub.d/00_header (да, включите строки cat и EOF):

   cat << EOF
   set superusers=[YOUR USERNAME]
   password_pbkdf2 [YOUR USERNAME] [YOUR grub.pbkdf2.sha512.10000.... PASSWORD STRING]
   EOF
   

   (Пример взят из http://www.g0hl1n.net/node/16 .) Наконец, запустите следующее, чтобы изменения конфигурации Grub вступили в силу:

   sudo update-grub2
   

Что это делает (если мы действительно обеспечили BIOS и Grub), уменьшает поверхность атаки до физической безопасности ПК (т. е. прерывает блокировку корпуса) и безопасность Ubuntu, когда он находится в сети. Цель состоит в том, чтобы сделать так, чтобы кто-то не мог подойти к ПК, перезагрузить его, перейти в однопользовательский режим, дать себе root-доступ, а затем уйти - все через минуту. Даже если вы используете шифрование с полным диском (но все еще загружаете ядро ​​+ initrd с жесткого диска ПК), все эти шаги все равно могут быть хорошей идеей, так как тривиально выполнять одну и ту же атаку, чтобы добавить кейлоггер к initrd, который будет обнюхать кодовую фразу шифрования.

1. Не думайте, что имя root можно изменить.
2. В /etc/default/grub раскомментируйте (удалите символ «#») следующую строку:

   #GRUB_DISABLE_LINUX_RECOVERY="true"
   

... затем запустите sudo update-grub.