Protección GRUB

GRUB es un cargador de arranque utilizado en sistemas GNU/Linux. Si tenemos acceso al arranque del servidor (ya sea físico o virtual), podemos editar la configuración de GRUB para ganar acceso como root en el sistema. Esto es utilizado inicialmente para resetear la password de root en caso de pérdida o realizar alguna reparación sobre el sistema. Pero podría ser utilizado por alguien que no debe y con otras intenciones.

Vamos a ver un ejemplo sobre un sistema operativo Rocky 8.5. Dependiendo del sistema, la modificación puede ser diferente, pero la idea es la misma. Durante el arranque del sistema, justo cuando aparece GRUB, pulsaremos la tecla 'e' para acceder al modo edición:

Modo edición de GRUB

Vamos a modificar la línea donde se carga linux, quitando la opción ro por la opción rw init=/sysroot/bin/sh:

rw init=/sysroot/bin/sh

Quedando así:

Parámetros del kernel modificados

Guardamos con Ctrl+x y esperamos a que inicie, obteniendo una consola de acceso con root directamente:

Consola con acceso root

Sólo faltaría montar el sistema raiz con permisos de escritura:

mount -o remount,rw /

Y podremos ejecutar cualquier comando como root, como por ejemplo resetear la password o crear un usuario para poder conectarnos por ssh más adelante.

¿Qué podemos hacer para proteger GRUB? Podemos proteger la edición de grub asignando un usuario con privilegios. Dicho usuario puede/debe tener una clave diferente a la de root. Vamos a generar una password encriptada para nuestro usuario, esto lo hacemos con el comando 

grub2-setpassword

Establecemos las password de GRUB

Una vez introducida las password dos veces, se habrá generado y la podremos ver en /boot/grub2/user.cfg:

Comprobación de generación de la clave de GRUB

Ahora sólo nos falta recrear la configuración de GRUB con el siguiente comando:

grub2-mkconfig -o /boot/grub2/grub.cfg

Regeneración del fichero de configuración de GRUB

Si ahora reiniciamos el sistema e intentamos editar GRUB, nos pedirá usuario y contraseña, sin este no se puede modificar.

Solicitud de credenciales para editar GRUB

Este es un sencillo mecanismo muy necesario en el proceso de hardening de nuestros servidores.