远程解锁GRUB引导加载程序密码

Question

是否可以远程解锁受密码保护的grub加载程序？对于LUKS加密的磁盘，我可以使用安装在Debian中的dropbear-initramfs包解锁，在这个包中，dropbear将运行一个自定义侦听端口，以便我可以使用它远程解锁LUKS加密的磁盘。我想知道，grub密码保护引导程序是否有解决方案？

Answer 1

我可能弄错了，但我认为向GRUB2添加网络服务器功能超出了该项目的范围。你想要一个密码保护的GRUB的想法是，你想要强制某人坐在电脑前输入密码！

正如您所指出的，如果您想要加密磁盘，但需要网络访问，则需要使用包含某种服务器的initramfs。为了确保本地用户不能更改引导设备，您可以使用secureboot，这样硬件就不会首先加载一个未签名的引导加载器，然后锁定引导加载程序，只启动您批准的系统。

我认为，如果您想要在现代系统上进行密码保护的引导(阅读:过去10年左右)，那么不依赖GRUB可能是成功的一步:很有可能，您是在问这个问题，因为您是在一个公司或服务器环境中。很可能您的计算机附带了一个BMC (板管理控制器)，您可以使用它来关闭、引导、监督…。您的计算机，即使操作系统没有运行。它们的典型特性是为下一次UEFI引导选择一个引导系统，然后重新启动主CPU。这样，您就可以简单地将其配置为不自行启动，并要求远程登录或具有密码的本地用户更改下一个引导系统。

Answer 2

您可以使用TPM (如果系统支持)或IP。

请查看此问题以获得更多信息：https://security.stackexchange.com/questions/11899/help-to-account-all-the-points-of-physical-access-to-a-rack-server-to-steal-soft