¿Agregaría seguridad para establecer una contraseña de GRUB si las unidades de disco duro están cifradas y la configuración de UEFI se puede abrir de todos modos?

Se necesita agregar la contraseña de grub para proteger la secuencia de inicio, pero proteger la secuencia de inicio solo tiene sentido si protege toda la secuencia de inicio, es decir, si habilita la contraseña de grub, también debe habilitar la contraseña UEFI y viceversa. No tiene sentido establecer uno, pero no el otro, así que para responder a una de sus preguntas, no, no es redundante.

Cuando tiene un arranque seguro, cada componente de la secuencia de arranque debe verificar criptográficamente la imagen cargada para el siguiente componente de arranque. En otras palabras, UEFI carga y verifica una imagen GRUB firmada criptográficamente (utilizando el arranque seguro UEFI), y GRUB carga y verifica un kernel / initrd / drivers Linux firmado criptográficamente. Cuando haya verificado toda la cadena con Secure Boot, la única vulnerabilidad que quedará es si el atacante reemplazó la placa base / Boot ROM, este es un ataque físico que puede demorarse o dificultarse mediante el uso de medidas de seguridad físicas (por ejemplo, bloqueos de la carcasa / estante). , cámaras de seguridad, guardias de seguridad, calcomanías a prueba de manipulación indebida).

Hay poco sentido en el cifrado / arranque, pero hay buenas razones para firmar criptográficamente los archivos en / boot para evitar el secuestro del arranque). El arranque seguro en UEFI y GRUB son parte de la solución para arrancar un sistema operativo sin una secuencia de arranque firmada criptográficamente; la adición de contraseñas de inicio evita que las personas realicen cambios no autorizados en la configuración de UEFI / GRUB o que inicien sistemas sin firma desde UEFI Shell / GRUB Shell.

Sus datos de usuario en su disco duro están encriptados (y MACd) para evitar lecturas no autorizadas y detectar modificaciones. La última parte significa que un atacante podría borrar todo el disco y escribir cosas propias allí, pero no es posible reemplazar archivos individuales, etc. con algo sano.

Si / boot también está encriptado ("si", porque muchas instrucciones dejan / boot encriptado), ¿para qué? Para evitar la lectura de Grub (es un software conocido)? No. ¿Para evitar modificaciones maliciosas? Tal vez, pero nada me detiene (digamos que soy el atacante) de sobrescribir la partición Grub "completa" con mi propio cargador de arranque malicioso (o suministrar un segundo disco con un cargador de arranque propio). No conozco sus propios archivos, pero sé cómo crear una partición / boot. ... Es decir, que perdiste. Mi propio gestor de arranque puede tomar el control de la computadora tan pronto como lo enciendas y espiar la clave de tu HDD más tarde.

Acerca de la consola de configuración de GRUB, evitar el acceso sin contraseña tiene sentido en una situación específica: el atacante no puede no acceder al disco duro. Piense en cajeros automáticos. (Si puede, como se dijo anteriormente, la contraseña también es inútil).

Similar a la contraseña de configuración UEFI: si puedo acceder al hardware (reemplazando las placas principales, los chips destellantes, ...), es completamente inútil.

En pocas palabras, ¿qué quieres?

• ¿Protege sus archivos para que no se lean, pero si le roban la computadora, ya no puede volver a confiar en ella (incluso si la recupera)? Mantener el cifrado del disco, e ignorar el resto.

• ¿Protege su computadora de ser robada y / o modificada? Úsalo todo y ponlo en una caja fuerte, con un escudo de radiación y mucho más.

• ¿Algo más? Imposible.