GRUB 引导口令（阻断单用户绕过）

能接触控制台的人可在 GRUB 编辑内核参数进入单用户模式重置 root 口令；给引导器设置 superuser 口令是阻断该路径的关键控制。

加固项	引导加载器认证
适用平台	Linux（RHEL/CentOS/Debian/Ubuntu）
风险等级	高
机制	GRUB2 superusers + PBKDF2 口令

生成 PBKDF2 哈希（RHEL 系用 grub2-mkpasswd-pbkdf2）

grub-mkpasswd-pbkdf2
# 输入口令后得到 grub.pbkdf2.sha512.10000.<salt>.<hash>

# /etc/grub.d/40_custom
set superusers="opsadmin"
password_pbkdf2 opsadmin grub.pbkdf2.sha512.10000.<替换为实际哈希>

口令只防“从引导菜单进入”的路径；能挂载磁盘或走 BMC/带外的攻击者仍可绕过，需叠加磁盘加密与机房物理安全。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌