麒麟系统GRUB加密设置方法

首先需要明确一个核心判断：物理接触者永远是操作系统安全的盲区。即便为系统设置了极为复杂的登录密码，只要机器落入他人之手，启动时按下 e 键即可修改内核参数、注入 init=/bin/bash 直接获取 root 权限——单用户模式在此场景下形同虚设。解决这一问题的唯一方法，是在 GRUB 菜单入口添加一道加密锁，且这道锁与用户登录密码完全无关，独立作用于引导阶段。

具体操作仅需三步：生成加密密码哈希、写入超级用户配置、更新并重启生效。

生成强加密密码哈希

打开终端，切换至 root 身份，直接执行：
grub-mkpasswd-pbkdf2

系统会提示输入并确认新密码。此步骤不可敷衍——密码至少 12 位，必须包含大小写字母、数字以及特殊符号，否则哈希强度不足，后续攻破难度将显著降低。命令输出结果类似如下：
【grub.pbkdf2.sha512.10000.67C4A93B8F12D8E3...】
这是一个较长字符串，必须完整复制，遗漏任何一位字符均等同于未设置密码。

若提示命令不存在，可尝试 grub2-mkpasswd-pbkdf2，两者功能完全一致。

写入 GRUB 超级用户认证配置

推荐直接编辑 40_custom 文件。先备份原始配置以确保安全：
cp /etc/grub.d/40_custom /etc/grub.d/40_custom.bak

随后使用 sudo nano 或 sudo vim 打开：
sudo nano /etc/grub.d/40_custom

在文件末尾另起两行，严格按以下格式写入（空格不可省略，用户名固定为 root）：
set superusers="root"
password_pbkdf2 root your_encrypted_password

注意：your_encrypted_password 必须替换为上一步生成的完整哈希串，不得删减、不得加引号、不得换行。任何字符错误，重启后将连按下 e 的资格都没有。

更新并启用 GRUB 配置

第一步，重新生成主配置文件：
sudo update-grub

第二步，立即重启以验证效果：
reboot

重启后，GRUB 菜单正常显示，不会弹出密码框——不必惊慌，这并非配置未生效。只有在 GRUB 界面按下 e 或 c 键时，系统才会强制要求输入用户名 root 及对应密码。输错三次后界面会短暂冻结，这是正常的防暴力破解机制。至此，物理接触者通过修改内核参数提权的路径被彻底封堵。