====== Absicherung des Bootloaders ======
Nachdem das System mit allen benötigten Programmen eingerichtet ist, kann mit einigen weiteren Aktionen die Sicherheit des Systems weiter erhöht werden.

Jede Person, die Zugang zur Tastatur des Systems hat, kann eine Administrator-Shell bekommen und beispielsweise alle Passwörter ändern, indem am Bootprompt dateiname- des-bootkernels init=/bin/sh eingegeben wird. Um dies zu verhindern, kann ein Passwort für den Boot-Loader gesetzt werden. Dies kann global für alle Boot-Images geschehen oder individuell für jedes einzelne.

===== GRUB =====

Wird auf dem System GRUB verwendet, so müssen folgende Zeilen der Datei ''/boot/grub/menu.lst'' hinzugefügt werden:

  timeout 3
  password hackme

Die Option timeout sorgt nach der angegebenen Zeit dafür, dass der Standardeintrag gebootet wird.

==== Links ====
  * [[http://searchopensource.techtarget.com/tip/0,289483,sid39_gci1233075,00.html|Securing GRUB on Red Hat Enterprise Linux]]
  * [[http://www.cyberciti.biz/tips/how-do-i-secure-grub-boot-loader.html|How Do I secure Grub boot loader?]]
  * [[http://www.prosec.rub.de/trusted_grub.html|TrustedGRUB (Absicherung mit TP-Modulen)]]

===== Lilo =====

Wenn Lilo als Bootloader verwendet wird, muss die Datei /etc/lilo.conf um die Einträge password und restricted erweitert werden:

image=/boot/2.2.14-vmlinuz

          label=Linux
          read-only
          password=hackme
          restricted

Danach muss lilo noch einmal aufgerufen werden. Sorgen Sie dafür, dass die Datei /etc/lilo.conf nur vom Administrator gelesen werden kann, da das Passwort unverschlüsselt in der Konfigurationsdatei steht; dies erreichen Sie mit dem Kommando chmod 600 /etc/lilo.conf. Die Option restricted bewirkt, dass nur nach einem Passwort gefragt wird, wenn der Benutzer versucht, zusätzliche Parameter am Bootprompt anzugeben. Die Auswahl verschiedener, bereits in der Konfiguration eingetragener Kernel ist weiterhin möglich. Wird der Eintrag restricted weggelassen, fragt Lilo in jedem Fall nach einem Passwort.

Die genannten Einträge können am Anfang der Konfigurationsdatei allgemein gültig für alle Kernel in der Konfiguration angegeben werden oder aber innerhalb eines Abschnitts der Konfigurationsdatei nur für bestimmte Kernel.