Как установить пароль на GRUB2

Зачем нужно ставить пароль на GRUB? Если кратко, то чтобы исключить получение root-доступа неавторизованным пользователем. Более подробно в этой теме.

Два предупреждения:
1. Себе пароль на GRUB не ставлю (к моим ПК нет физического доступа у кулхацкеров, паранойя пока не достигла критической точки).
2. Перед тем как использовать изложенную здесь информацию, особенно неопытным пользователям, настоятельно рекомендую изучить способы восстановления GRUB (как минимум надо иметь LiveCD).

Итак, мне известно два способа: при помощи программы Grubpass и вручную.

Начнем с более простого способа.
Программа Grubpass не входит в стандартный состав ПО той же Ubuntu, поэтому ставим ее командой sudo apt-get install grubpass
Запускаем sudo grubpass
Начало операции - команда setpassword
Нас спросят какой пароль для какого пользователя мы хотим задать. Вводим пароль и имя пользователя. После создания пароля, нас попросят выбрать записи в меню GRUB2) которые мы хотим защитить паролем.
Команды для выбора отображаются там же, вместе с кратким описанием (можно выбрать ALL — все).
Когда мы наиграемся, пароль можно удалить через grubpass командойrecover

Ручной способ.
В терминале от рута создаем пароль
# grub-mkpasswd-pbkdf2
Enter password:
Reenter password:
Your PBKDF2 is grub.pbkdf2.sha512.10000.2D4EE33EEE342503888D967084246F3CB9328B9A5C731439FD1AD70E3AB7637FA294942A049546CECBFBCFE8582D1F833B92B18C0F124C1003F766259DFB9BD2.86F1A8963F23E588FF3D04F104E9245858CD12BB8F0A9A8B849B61735E8300D33CD399F28A58AB696E2F7F482ABB93C65B8B79342B94C9C2A7A59DA3AF03B8D8

В результате приведенной команды получаем хэш пароля, который нужен, чтобы GRUB при запуске опознавал наш пароль. Полученный хэш добавляем в скрипт из которого генерируется конфигурация GRUB2.
Чтобы не было проблем с конфигом при обновлении пакета, создаем отдельный файл /etc/grub.d/05_password
#!/bin/sh

set -e

cat << EOF
set superusers="root"
password_pbkdf2 root grub.pbkdf2.sha512.10000.2D4EE33EEE342503888D967084246F3CB9328B9A5C731439FD1AD70E3AB7637FA294942A049546CECBFBCFE8582D1F833B92B18C0F124C1003F766259DFB9BD2.86F1A8963F23E588FF3D04F104E9245858CD12BB8F0A9A8B849B61735E8300D33CD399F28A58AB696E2F7F482ABB93C65B8B79342B94C9C2A7A59DA3AF03B8D8
EOF

Чтобы все работало надо установить права на свежесозданный файл и обновляем конфигурацию GRUB2
# chown root:root /etc/grub.d/05_password
# chmod 600 /etc/grub.d/05_password
# update-grub