linux+如何安全启动模式

linux+如何安全启动模式详细介绍

在 Linux 系统中，安全启动模式主要有两种含义：单用户 / 恢复模式（用于系统维护）和UEFI 安全启动（Secure Boot，用于验证启动加载程序的合法性）。以下是两种模式的详细操作指南及注意事项：

一、单用户 / 恢复模式（系统维护）

1.
进入方式

• GRUB 菜单编辑：
  • 通用步骤：重启系统，在 GRUB 菜单出现时按Esc或Shift键进入菜单。选择目标内核，按e键编辑启动参数。
  • 添加参数：
    • 单用户模式：在linux行末尾添加systemd.unit=rescue.target（systemd 系统）或single/1（旧版系统）。
    • 恢复模式：选择菜单中的 “恢复模式”（如 Ubuntu 的 “Advanced options” 中选择 “(Recovery mode)”）。

  • 保存并启动：按Ctrl+X或F10启动。

• 示例：
  • Ubuntu：在 GRUB 菜单中选择 “Ubuntu”，按e，将ro quiet splash改为rw init=/bin/bash，按Ctrl+X进入单用户模式。
  • CentOS 7：编辑内核参数，添加rd.break，启动后执行mount -o remount,rw /sysroot和chroot /sysroot。
  • Debian：在 GRUB 中编辑内核参数，添加single，按b键启动。
  • openSUSE：使用 Live CD/USB 启动，选择 “恢复模式” 进入命令行。

2.
常用操作

• 文件系统修复：bash

    /dev/sda1  
  
  

• 重置 root 密码：bash

   root  
  
  

• 禁用故障服务：bash

  systemctl disable problematic.service  
  
  

3.
退出单用户模式

bash

二、UEFI 安全启动（Secure Boot）

1.
启用 UEFI 安全启动

• 进入 BIOS/UEFI 设置：
  • 常见按键：Del、F2、F10（不同厂商可能不同，如华硕按F2，戴尔按F2或F12）。

• 启用步骤：
  1. 设置启动模式：将 “启动模式” 设为UEFI（非 Legacy）。
  2. 启用安全启动：在 “Security” 或 “Boot” 菜单中找到 “Secure Boot”，设为Enabled。
  3. 保存并重启：按F10保存设置。

2.
验证安全启动状态

• Linux 命令行：bash

  mokutil --sb-state  
  
  

• Windows 工具：
  • 运行msinfo32，在 “系统摘要” 中查看 “安全启动状态”。

3.
签名内核模块（以 Fedora 为例）

1. 生成密钥：bash

   openssl req    rsa:2048  driver-signing.key  DER  driver-signing.der     
   
   

2. 注册密钥到 UEFI：bash

   mokutil  driver-signing.der
   
   

3. 重启并验证：
   • 系统重启时进入 UEFI 的 “MOK Manager”，选择 “Enroll MOK”，输入密码完成注册。

4.
第三方驱动签名

• NVIDIA 驱动（Fedora）：
  1. 启用第三方仓库：bash

      dnf copr  egeretto/kmodtool-secureboot
     
      dnf copr egeretto/akmods-secureboot
     

  2. 安装工具并签名：bash

      dnf  kmodtool akmods
     
      akmods 
     

5.
常见问题及解决

• 启动失败（Secure Boot Violation）：
  • 原因：未签名的内核或驱动。
  • 解决：
    1. 关闭安全启动（临时）。
    2. 生成并注册签名密钥。

• 双系统冲突：
  • 原因：Windows 和 Linux 的签名密钥不兼容。
  • 解决：在 UEFI 中添加双方的密钥，或禁用安全启动。

三、注意事项

1. 单用户模式风险：
   • 直接以 root 权限操作，避免误删系统文件。
   • 修复后及时重启，避免长期运行在单用户模式。

2. UEFI 安全启动限制：
   • 仅支持经过签名的内核和驱动。
   • 部分旧硬件或发行版可能不兼容，需手动配置。

3. 密钥管理：
   • 妥善保存生成的密钥文件（如.key和.der），避免丢失。
   • 若更换硬件或重新安装系统，可能需要重新注册密钥。

四、总结

• 单用户 / 恢复模式：用于系统故障排除，如修复文件系统、重置密码。
• UEFI 安全启动：通过数字签名验证启动加载程序，增强系统安全性，但需处理签名流程。
• 操作建议：根据具体需求选择模式，优先使用 UEFI 安全启动，并备份重要数据以防操作失误。