麒麟系统如何设置GRUB加密

先说一个核心判断：物理接触者永远是操作系统安全的最大盲区。即便你为系统设置了极为复杂的登录密码，只要设备落入他人之手，启动时按下 e 键就能修改内核参数、注入 init=/bin/bash 直接获取 root 权限——单用户模式在这种场景下几乎形同虚设。彻底解决这个问题的唯一方法，就是在 GRUB 菜单入口加一道加密锁，而且这道锁与用户登录密码完全独立，专门作用于引导阶段，从根源上杜绝提权风险。

具体怎么操作？其实只需要三步：生成加密密码哈希、写入超级用户认证配置、更新并重启生效。

生成强加密密码哈希

打开终端，切换到 root 身份，直接执行：
grub-mkpasswd-pbkdf2

系统会提示你输入并确认新密码。这一步千万别敷衍——密码长度至少 12 位，必须包含大小写字母、数字和特殊符号，否则哈希强度不足，后续破解难度会大大降低。命令输出结果类似下面这样：
【grub.pbkdf2.sha512.10000.67C4A93B8F12D8E3...】
这是一长串字符串，务必完整复制，漏掉任意一位字符都等于没设密码。

如果提示命令不存在，请尝试 grub2-mkpasswd-pbkdf2，两者功能完全一致。

写入 GRUB 超级用户认证配置

推荐直接编辑 40_custom 文件。先备份原始配置以防万一：
cp /etc/grub.d/40_custom /etc/grub.d/40_custom.bak

然后用 sudo nano 或 sudo vim 打开：
sudo nano /etc/grub.d/40_custom

在文件末尾另起两行，严格按照下面格式写入（空格一个都不能少，用户名固定为 root）：
set superusers="root"
password_pbkdf2 root your_encrypted_password

⚠️ 注意：your_encrypted_password 必须替换为上一步生成的完整哈希串，不能删减、不能加引号、不能换行。写错一个字符，重启后你连按 e 键的资格都没有。

更新并启用 GRUB 配置

第一步，重新生成主配置文件：
sudo update-grub

第二步，立即重启验证效果：
reboot

重启之后，GRUB 菜单正常显示，不会弹出密码框——别慌，这不是没生效。只有在 GRUB 界面按 e 或 c 键时，系统才会强制要求输入用户名 root 和对应的密码。输错三次后界面会短暂冻结，这是正常的防暴力破解机制。到这一步，物理接触者想通过修改内核参数提权的通道就被彻底堵死了。