Resetare parola root uitata in Linux din GRUB (single-user)

Mai devreme sau mai tarziu, i se intampla oricui. Revii la un VPS pe care l-ai configurat acum cateva luni, tastezi parola de care erai sigur, iar serverul iti raspunde de trei ori la rand cu “Permission denied”. Pe laptopul asta nu ai cheie SSH, biletelul cu parola a disparut, iar sudo iti cere exact parola pe care nu o mai ai. Senzatia e ca ai ramas incuiat pe dinafara in propria casa. Vestea buna: daca ajungi la consola serverului, o parola uitata nu e o usa blocata, e doar un hop. In ghidul asta intrerupem pornirea din meniul GRUB, pornim Linux direct intr-un shell root si setam o parola noua, pe Debian 13 si pe Ubuntu 24.04.

Totul dureaza cam cinci minute, nu atinge site-urile, bazele de date sau fisierele tale si merge pe orice VPS KVM la care panoul de control iti ofera consola. Acoperim si partile pe care majoritatea retetelor rapide le sar: de ce modul single-user clasic iti cere fix parola pe care ai pierdut-o, de ce sistemul de fisiere trebuie sa permita scrierea inainte ca passwd sa-si faca treaba, ce pas in plus cer sistemele cu SELinux si ce faci cand meniul GRUB pur si simplu nu vrea sa apara.

De ce ai nevoie

• Un VPS KVM sau un server dedicat cu Debian 13 ori Ubuntu 24.04 (metoda e aceeasi si pe versiuni mai vechi si pe majoritatea celorlalte distributii). Nu se aplica pe containere LXC, nici privilegiate, nici neprivilegiate, explicam mai jos de ce.
• Acces la zona de client / panoul de control, cu functia de consola (VNC). Consola e practic “monitorul si tastatura virtuala” ale serverului.
• Un browser pe desktop si o tastatura fizica. Se poate si de pe telefon, dar e chinuitor.
• O parola temporara scurta, gandita dinainte, formata doar din litere mici si cifre. La final o inlocuiesti cu una puternica.
• Cam 10 minute de downtime: serverul reporneste de doua ori, asa ca alege un moment linistit daca serveste trafic live.

Cum porneste un server Linux si unde intervenim

Ca sa intelegi de ce merge trucul, ajuta sa stii ce se intampla intre “power on” si promptul de login. Un server porneste in lant, iar fiecare veriga preda controlul urmatoarei:

1. Firmware-ul (BIOS sau UEFI): primul cod care ruleaza. Gaseste discul si porneste boot loader-ul.
2. GRUB: boot loader-ul. Afiseaza un mic meniu (daca e configurat asa), incarca kernelul Linux in memorie si ii transmite un rand de optiuni numit linia de comanda a kernelului.
3. Kernelul Linux: nucleul sistemului de operare. Initializeaza hardware-ul, monteaza sistemul de fisiere root (partitia care contine /, cu /etc, /usr si tot restul), apoi porneste un singur program, procesul init, care primeste mereu ID-ul de proces 1 (PID 1).
4. systemd: pe Debian si Ubuntu, acesta e procesul init. El porneste toate celelalte servicii: reteaua, SSH, serverul web si, la final, promptul de login care iti cere parola.

Verificarea parolei sta chiar la capatul lantului, in programe pornite de systemd. Kernelului nu ii pasa de parole. Asa ca, daca ii spunem kernelului “nu porni systemd, porneste in schimb un shell bash”, ajungem intr-un shell care ruleaza deja ca root, inainte ca cineva sa ne ceara vreo parola. Exact asta face optiunea de kernel init=/bin/bash, iar GRUB e locul unde o putem adauga, pentru ca ne lasa sa editam linia de comanda a kernelului pentru o singura pornire.

Ce inseamna “single-user mode” pe un sistem modern

Pe sistemele Unix si Linux mai vechi, “single-user mode” (runlevel 1 sau S) era o stare minimala de pornire, gandita pentru mentenanta: fara retea, fara alti utilizatori, doar un shell root pe consola. Pe distributiile bazate pe systemd, echivalentul se numeste rescue.target si il poti cere in continuare adaugand single sau systemd.unit=rescue.target in linia de comanda a kernelului.

Exista insa o capcana. Pe Debian si Ubuntu, modul rescue ruleaza un program numit sulogin, care iti cere parola de root inainte sa-ti dea un shell (“Give root password for maintenance”), sau refuza de tot daca contul root e blocat. Protectia are sens, dar nu te ajuta deloc cand parola de root e exact ce ai uitat. De aceea metoda de incredere e init=/bin/bash: sare complet peste systemd si sulogin. Lumea ii spune tot “single-user mode”, pentru ca rezultatul e aceeasi idee, un shell root singuratic pe consola.

Inca un detaliu pentru cei cu Ubuntu: pe o instalare standard de Ubuntu, contul root e blocat si lucrezi printr-un utilizator obisnuit cu sudo. In cazul asta, parola uitata e probabil chiar a utilizatorului tau. Nicio problema: aceeasi procedura iti permite sa resetezi orice cont, iar la pasul 6 aratam ambele variante. In functie de cum a fost livrat VPS-ul, poti folosi direct root sau un utilizator cu sudo, asa ca verifica cu ce cont te autentifici de obicei.

De ce nu merge intr-un container LXC

Un container LXC e un VPS usor care foloseste kernelul serverului fizic gazda. Nu are firmware, nu are GRUB si nu are kernel propriu, deci nu exista niciun meniu de boot de intrerupt, indiferent daca e privilegiat sau neprivilegiat. Daca VPS-ul tau e LXC, cauta in panoul de control o optiune de “resetare parola root” sau deschide un tichet de suport: din host, echipa noastra iti poate seta o parola noua in container in cateva secunde. Tot ce urmeaza se aplica masinilor virtuale KVM si serverelor dedicate.

Inainte sa incepi: trei detalii care iti scutesc timp

Tastatura e americana. GRUB si shell-ul root minimal folosesc layout-ul de tastatura US, indiferent ce layout ai pe calculator. Daca folosesti layout romanesc, german sau francez, caractere precum @, ", y si z sau / pot iesi altfel decat te astepti. De asta iti recomandam o parola temporara din litere simple si cifre: o vei tasta de cel putin doua ori in consola si vrei sa fii sigur ca e exact ce crezi.

Copy-paste de obicei nu merge. Consola din browser trimite apasari de taste, nu lipeste text in GRUB in mod fiabil. Pregateste-te sa tastezi comenzile de mana, sunt scurte intentionat.

Unele configurari mai pun un lacat. Daca discul e criptat cu LUKS, vei fi intrebat de fraza de acces a discului la pornire, iar fara ea nicio metoda nu poate citi datele (exact asta e rostul criptarii). Daca GRUB e protejat cu parola, apasarea tastei e iti va cere un utilizator si o parola GRUB; in cazul asta sari direct la metoda cu ISO de rescue, mai jos.

Resetarea parolei root din GRUB, pas cu pas

Iata intreaga procedura dintr-o privire. Pasul 7 se aplica doar daca SELinux e activ, ceea ce nu se intampla pe o instalare implicita de Debian sau Ubuntu.

Pasul 1: Deschide consola din panoul de control al VPS-ului

Autentifica-te in zona de client, alege VPS-ul si deschide functia Consola (VNC). Intr-un tab sau o fereastra noua vei vedea ecranul serverului, exact ca si cum ai avea un monitor conectat la el. Daca serverul ruleaza normal, vei vedea un prompt de login de tipul debian login: sau ubuntu login:.

Da un click in interiorul ferestrei de consola, ca sa primeasca tastele apasate. Tine tab-ul deschis si la vedere: la pasul urmator, meniul GRUB poate sta pe ecran doar o secunda sau doua si nu vrei sa-l ratezi in timp ce schimbi tab-urile.

Pasul 2: Reporneste si opreste-te in meniul GRUB

Pentru ca nu te poti autentifica, reporneste serverul din exterior: foloseste butonul Reboot din panoul de control sau butonul “Send Ctrl+Alt+Del” pe care il au majoritatea consolelor. E de preferat o repornire curata, dar un reset fortat e acceptabil daca serverul nu raspunde.

Ce se intampla mai departe depinde de distributie:

• Debian 13 afiseaza implicit meniul GRUB, cu o numaratoare inversa de 5 secunde. Apasa o sageata imediat ce apare, asa opresti numaratoarea.
• Ubuntu 24.04 ascunde meniul pe serverele cu un singur sistem de operare. Imediat dupa ce incepe repornirea, apasa repetat Esc (pe masini UEFI) sau tine apasat Shift (pe masini BIOS). Intr-o consola din browser, apasarea repetata a tastei Esc merge de obicei mai sigur decat tinutul lui Shift.
• Imaginile cloud ale ambelor distributii seteaza adesea timeout-ul GRUB la 0 secunde, deci fereastra in care poti apasa o tasta e foarte scurta. Incepe sa apesi Esc imediat dupa click pe Reboot.

Daca ai apasat Esc o data in plus si ai ajuns la un prompt simplu grub>, scrie normal si apasa Enter, iar meniul revine. Daca ai ratat meniul si sistemul a pornit normal, reporneste din nou si mai incearca o data. Cand meniul e vizibil, prima intrare (“Debian GNU/Linux” sau “Ubuntu”) ar trebui sa fie selectata.

Pasul 3: Editeaza intrarea de boot

Cu prima intrare selectata, apasa e. GRUB deschide un mic editor de text cu comenzile pe care le-ar rula pentru acea intrare. Nimic din ce modifici aici nu se salveaza pe disc: editarea se aplica doar acestei porniri, iar urmatoarea pornire va fi complet normala.

Cu sagetile, coboara pe randul care incepe cu linux. De obicei e lung si se intinde pe doua sau trei randuri de ecran, ceea ce e normal. Apasa End ca sa sari la finalul randului, apoi fa doua modificari:

1. Gaseste cuvantul ro (read-only, doar citire), de obicei imediat dupa root=UUID=..., si schimba-l in rw (read-write, citire si scriere). Asa ii spui kernelului sa monteze sistemul de fisiere root cu drept de scriere, de care passwd are nevoie.
2. La finalul randului, adauga un spatiu urmat de init=/bin/bash.

Pe un VPS tipic cu Debian 13, randul se schimba de la:

linux   /boot/vmlinuz-6.12.x-amd64 root=UUID=1a2b3c4d-... ro quiet

la:

linux   /boot/vmlinuz-6.12.x-amd64 root=UUID=1a2b3c4d-... rw quiet init=/bin/bash

Versiunea de kernel si UUID-ul vor fi altele pe serverul tau; lasa-le exact cum sunt. Poti sterge si quiet (si splash, daca exista) ca sa vezi mesajele kernelului derulandu-se, ceea ce ajuta daca ceva nu merge.

Imaginile cloud de Ubuntu mai cer o modificare. Randul lor linux se termina adesea cu console=tty1 console=ttyS0. Kernelul trimite consola principala catre ultimul console= pe care il gaseste, aici portul serial ttyS0, asa ca shell-ul root ar aparea pe o linie seriala la care nu te uiti, in timp ce fereastra VNC ramane inghetata. Sterge console=ttyS0, ca sa ramana doar tty1 (ecranul pe care il vezi):

linux   /vmlinuz-6.8.0-xx-generic root=UUID=... rw console=tty1 init=/bin/bash

Observa ca pe imaginile cloud de Ubuntu 24.04 calea incepe cu /vmlinuz si nu cu /boot/vmlinuz, pentru ca acolo /boot e o partitie separata. E normal, nu o modifica.

Pasul 4: Porneste in shell-ul root

Apasa Ctrl+X sau F10 ca sa pornesti cu randul modificat. Dupa cateva secunde de mesaje, ar trebui sa vezi ceva de genul:

bash: cannot set terminal process group (-1): Inappropriate ioctl for device
bash: no job control in this shell
root@(none):/#

Cele doua avertismente sunt asteptate si inofensive: bash ruleaza direct ca PID 1, fara configurarea obisnuita a terminalului. Hostname-ul apare ca (none) pentru ca nimeni nu l-a setat inca. Caracterul # de la finalul promptului inseamna ca esti root.

Doua reguli cat timp esti aici. Prima: nu tasta exit. Bash e acum procesul init, iar daca PID 1 se inchide, kernelul intra in panica si trebuie sa resetezi serverul. A doua: Ctrl+C nu va intrerupe comenzile, asa ca ramai la comenzile scurte din ghid.

Pasul 5: Verifica daca sistemul de fisiere root permite scrierea

Chiar daca am cerut rw, merita verificat, mai ales daca ai uitat sa schimbi ro. Ruleaza:

findmnt -no OPTIONS /

Rezultatul arata optiunile de montare pentru /. Daca incepe cu rw, de exemplu rw,relatime, totul e in regula. Daca incepe cu ro, remonteaza sistemul de fisiere in modul read-write:

mount -o remount,rw /

Comanda nu afiseaza nimic cand reuseste. Ruleaza din nou findmnt -no OPTIONS / ca sa confirmi ca acum apare rw. Pe Debian si Ubuntu, initramfs-ul (micul sistem temporar care pregateste sistemul de fisiere root real) a montat deja /proc pentru tine, asa ca findmnt functioneaza. Daca totusi primesti o eroare care mentioneaza /proc, monteaza-l mai intai cu mount -t proc proc /proc.

De ce conteaza? Parolele sunt stocate sub forma de hash in /etc/shadow. Schimbarea unei parole inseamna scrierea unei versiuni noi a acestui fisier, iar pe un sistem de fisiere read-only scrierea esueaza.

Pasul 6: Seteaza parola noua

Pentru o parola noua de root:

passwd root

Ti se cere parola noua de doua ori. Nu apare nimic pe ecran cat tastezi, nici macar asteriscuri, si e normal. Cand cele doua introduceri se potrivesc, vezi:

New password:
Retype new password:
passwd: password updated successfully

Daca parola uitata e a utilizatorului tau obisnuit cu sudo (situatia tipica pe Ubuntu), afiseaza intai conturile “umane” de pe sistem:

awk -F: '$3 >= 1000 && $3 < 65534 {print $1}' /etc/passwd

Comanda listeaza numele de utilizator cu ID 1000 sau mai mare, zona in care Debian si Ubuntu pun utilizatorii normali. Apoi reseteaza contul de care ai nevoie, inlocuind alice cu numele real:

passwd alice

Poti verifica rezultatul cu passwd -S root (sau cu numele tau de utilizator): al doilea camp ar trebui sa fie P, adica “parola utilizabila”. L inseamna blocat, iar NP inseamna fara parola.

Pasul 7: Relabel pentru fisiere, daca SELinux e activ

Pasul asta e doar pentru sistemele care folosesc SELinux, un strat de securitate care ataseaza o eticheta (un “context de securitate”) fiecarui fisier si decide ce programe au voie sa acceseze ce etichete. Instalarile implicite de Debian si Ubuntu folosesc in schimb AppArmor, care nu eticheteaza fisierele, asa ca majoritatea cititorilor vor sari peste acest pas. Ca sa verifici, ruleaza:

grep -E '^SELINUX=' /etc/selinux/config 2>/dev/null

Daca nu apare nimic, SELinux nu e instalat si poti merge mai departe. Daca apare SELINUX=enforcing sau SELINUX=permissive, ruleaza:

touch /.autorelabel

Iata de ce. passwd nu editeaza /etc/shadow pe loc, ci scrie un fisier nou si il pune in locul celui vechi. In shell-ul nostru minimal, politica SELinux nu e incarcata, deci fisierul nou e creat fara eticheta corecta. La urmatoarea pornire normala, cu SELinux in modul enforcing, programele de login nu au voie sa citeasca un /etc/shadow neetichetat si orice autentificare esueaza, chiar si cu parola corecta. Fisierul gol /.autorelabel ii spune sistemului sa reeticheteze toate fisierele la urmatoarea pornire (lucru respectat pe distributiile din familia RHEL si pe Debian cu pachetul selinux-basics). Reetichetarea dureaza de la un minut la cateva minute, in functie de numarul de fisiere, si e urmata de o repornire automata in plus. Las-o sa termine fara sa o intrerupi.

Pasul 8: Scrie modificarile pe disc si reporneste

Acum ne asiguram ca totul a ajuns pe disc si repornim intr-o pornire normala:

sync
mount -o remount,ro /
reboot -f

sync goleste pe disc datele ramase inca in memorie. Remontarea lui / in modul read-only e o plasa de siguranta in plus inainte de o repornire fortata; daca se plange ca dispozitivul e ocupat (“busy”), nu-ti face griji, sync a facut deja partea importanta. La final, reboot -f reporneste masina imediat.

Un simplu reboot ar esua aici cu un mesaj de tipul “System has not been booted with systemd as init system (PID 1)”, pentru ca systemd, care coordoneaza in mod normal oprirea, nu ruleaza. De aceea folosim -f, care nu contacteaza sistemul init. Daca nici asta nu merge, varianta de rezerva cere direct kernelului o repornire imediata:

echo b > /proc/sysrq-trigger

Ca alternativa, in loc de reboot, poti tasta exec /sbin/init, care inlocuieste bash cu systemd si lasa pornirea sa continue normal de aici. Repornirea e mai curata si e ce recomandam.

Retine: editarea din GRUB de la pasul 3 a fost temporara, deci pornirea asta e complet normala.

Pasul 9: Autentifica-te si fa curatenie

Cand promptul de login apare in consola, autentifica-te cu utilizatorul si parola temporara pe care tocmai le-ai setat. Daca merge, partea grea s-a terminat. Incearca acum si SSH de pe calculatorul tau.

Nu te mira daca SSH refuza parola de root, desi consola o accepta. Debian si Ubuntu vin cu PermitRootLogin prohibit-password, care permite root prin SSH doar cu chei, iar imaginile cloud de Ubuntu dezactiveaza in plus complet autentificarea cu parola. E o setare implicita sanatoasa. Intra prin SSH cu utilizatorul obisnuit si foloseste sudo -i, sau foloseste consola pentru root.

Apoi inlocuieste parola temporara cu una puternica, pastrata intr-un manager de parole:

passwd

Daca tot esti aici, configureaza si o cheie SSH, ca sa nu mai depinzi niciodata de o parola tinuta minte. Ruleaza asta de pe calculatorul tau, nu de pe server:

ssh-copy-id alice@203.0.113.10

Inlocuieste utilizatorul si adresa IP cu ale tale. In final, daca pe Ubuntu ai pus o parola de root doar ca sa intri inapoi si preferi ca root sa ramana blocat, asa cum e gandit Ubuntu, blocheaza-l din nou dupa ce ai confirmat ca utilizatorul cu sudo functioneaza:

sudo passwd -l root

Planul B: ISO de rescue si chroot

Uneori GRUB e de neatins: meniul e protejat cu parola, boot loader-ul e stricat sau pur si simplu nu reusesti sa-l prinzi la timp. In cazul asta, porneste VPS-ul dintr-un ISO de rescue sau live din panoul de control (sau roaga echipa de suport sa-ti ataseze unul), deschide consola si lucreaza de acolo. Ideea e aceeasi, doar drumul difera: montam discul serverului din sistemul de rescue si rulam passwd “in interiorul” lui cu chroot, care face ca un director sa se comporte ca radacina sistemului de fisiere pentru o comanda.

Mai intai identifica partitia root:

lsblk -f

Cauta cea mai mare partitie ext4 (sau xfs), de multe ori /dev/vda1 pe un VPS KVM. Pe imaginile cloud de Ubuntu 24.04, vda1 e root, iar vda15 (EFI) si vda16 (/boot) sunt partitii mici de care nu ai nevoie aici. Daca discul foloseste LVM, ruleaza intai vgchange -ay si cauta in /dev/mapper/. Apoi monteaza si schimba parola (renunta la sudo daca sistemul de rescue te logheaza deja ca root):

sudo mount /dev/vda1 /mnt
ls /mnt/etc/shadow
for d in dev proc sys; do sudo mount --bind /$d /mnt/$d; done
sudo chroot /mnt passwd root

Linia cu ls e o verificare: daca afiseaza /mnt/etc/shadow, ai montat partitia corecta. Montarile de tip bind ii dau mediului chroot acces la dispozitive si la informatiile de sistem pe care le asteapta unele module PAM. Daca serverul foloseste SELinux, ruleaza si sudo touch /mnt/.autorelabel. Apoi fa curat:

for d in sys proc dev; do sudo umount /mnt/$d; done
sudo umount /mnt

Detaseaza ISO-ul din panoul de control si reporneste. Serverul porneste de pe discul propriu, cu parola noua la locul ei.

Ce metoda sa alegi?

In aproape toate cazurile, metoda din GRUB din acest ghid e cea mai rapida si nu cere nimic in afara de consola. ISO-ul de rescue e rezerva pentru cand GRUB e blocat sau inaccesibil. Reinstalarea e ultima solutie si are sens doar daca ai backup-uri bune, testate.

Depanare si greseli frecvente

Consola ramane neagra dupa Ctrl+X. De cele mai multe ori, consola principala a fost trimisa pe un port serial. Reporneste, editeaza din nou intrarea si sterge console=ttyS0 (sau orice alt console= care indica un port serial) din randul linux, asa cum am explicat la pasul 3.

Kernel panic: “Attempted to kill init!”. Fie ai tastat exit in shell-ul root, fie calea de dupa init= e gresita (o greseala de tastare ca init=/bin/bsah sau un slash lipsa). Reseteaza serverul si rescrie atent randul.

“passwd: Authentication token manipulation error”. Sistemul de fisiere e inca read-only. Intoarce-te la pasul 5, ruleaza mount -o remount,rw / si incearca din nou. Pe un disc plin de tot, aceeasi eroare apare pentru ca nu exista spatiu sa se scrie fisierul nou; df -h / iti spune asta.

Parola noua nu merge, nici macar in consola. De obicei e o problema de layout de tastatura: consola a primit alte caractere decat te asteptai. Repeta procedura cu o parola doar din litere mici si cifre. Pe sistemele cu SELinux, cealalta cauza clasica e un /.autorelabel uitat (pasul 7).

Parola merge in consola, dar nu prin SSH. Asta e configuratia SSH care isi face treaba, vezi pasul 9. Intra cu un utilizator obisnuit sau adauga o cheie SSH. Evita sa activezi PermitRootLogin yes cu parola doar ca sa ocolesti problema.

Apasarea tastei e iti cere utilizator si parola. GRUB e protejat cu parola. Foloseste metoda cu ISO de rescue sau cere datele GRUB de la cine a configurat serverul.

Ti se cere o fraza de acces pentru disc. Discul e criptat cu LUKS. Fara acea fraza nu ai cum sa intri, si asa e gandit.

Nu reusesti niciodata sa prinzi meniul GRUB. Apasa Esc mai devreme si mai des, imediat dupa click pe Reboot. Pentru viitor, dupa ce ai intrat inapoi, fa meniul sa fie mereu vizibil cateva secunde. Editeaza /etc/default/grub cu sudo nano /etc/default/grub si seteaza:

GRUB_TIMEOUT_STYLE=menu
GRUB_TIMEOUT=5

Uita-te si in fisierele din /etc/default/grub.d/: imaginile cloud de Ubuntu au acolo un fisier (de exemplu 50-cloudimg-settings.cfg) care seteaza GRUB_TIMEOUT=0 si e citit dupa fisierul principal, deci iti suprascrie modificarea. Ajusteaza valoarea si acolo, apoi regenereaza configuratia GRUB (comanda e aceeasi pe Debian si pe Ubuntu):

sudo update-grub

Modificarile s-au pierdut dupa repornire. Probabil ai resetat serverul fara sync. Repeta procedura si nu sari peste pasul 8.

Note de securitate

Ghidul asta arata ceva important despre securitatea serverelor: cine controleaza consola controleaza serverul. Nicio parola nu rezista la acces fizic sau la consola, decat daca discul e criptat. La un VPS, consola sta in panoul de control, deci contul tau din panou e practic inca o parola de root. Protejeaza-l cu o parola puternica, unica, si activeaza autentificarea in doi pasi acolo unde e disponibila.

Poti adauga o parola pentru GRUB (generata cu grub-mkpasswd-pbkdf2), ca nimeni sa nu poata edita intrarile de boot fara ea. Pe un VPS, de obicei nu merita efortul: oricine are acces la consola poate porni si un ISO de rescue, iar parola GRUB doar iti incetineste propriile recuperari. Criptarea completa a discului e adevarata protectie pentru datele stocate, cu compromisul ca trebuie sa tastezi fraza de acces in consola la fiecare pornire.

Fii sincer cu tine despre motivul pentru care parola nu merge. Daca esti sigur ca o stii si dintr-odata nu mai functioneaza, trateaza situatia ca pe o posibila compromitere, nu ca pe o scapare de memorie. Fa un snapshot sau un backup inainte sa schimbi ceva, iar dupa ce intri, verifica /root/.ssh/authorized_keys si ~/.ssh/authorized_keys pentru fiecare utilizator, conturile din /etc/passwd, autentificarile recente cu last si procesele care ruleaza. O resetare de parola iti reda accesul, dar nu scoate un intrus din sistem.

In fine, fa ca urmatorul blocaj sa fie mai putin probabil: foloseste chei SSH pentru accesul zilnic, tine parolele intr-un manager de parole si pastreaza mereu cel putin un utilizator cu sudo functional pe langa root.

Deci, e o parola root uitata un dezastru?

Deloc, atat timp cat ai acces la consola si cinci minute linistite. Intrerupi GRUB, adaugi rw init=/bin/bash pentru o singura pornire, setezi o parola noua, faci relabel daca e vorba de SELinux si repornesti. Datele tale raman exact unde erau. Adevarata lectie e ca o consola functionala si un plan de recuperare fac parte din server, la fel ca backup-urile.

Daca vrei un server la care consola, ISO-ul de rescue si butoanele de repornire sunt la un click distanta in panoul de control, arunca o privire peste planurile noastre de VPS KVM . Iar daca ai prefera sa nu te mai lovesti niciodata de parole pierdute, securizare SSH sau recuperari la 2 noaptea, echipa noastra de administrare servere se poate ocupa de acces, securitate si monitorizare in locul tau.

Intrebari frecvente

Resetarea parolei root sterge vreo data?

Nu. Se schimba doar hash-ul parolei din /etc/shadow. Fisierele, bazele de date, site-urile si parolele celorlalti utilizatori raman neatinse.

Merge pe Ubuntu 24.04 si pe Debian 13?

Da, ambele sunt acoperite aici. Diferentele principale: Ubuntu ascunde meniul GRUB (apesi Esc sau tii Shift), imaginile cloud de Ubuntu pot trimite consola pe portul serial, iar pe Ubuntu contul root e blocat implicit, asa ca poate vrei sa resetezi utilizatorul cu sudo in loc de root.

Trebuie sa anulez modificarile din GRUB dupa aceea?

Nu. Editarile facute cu e in meniul GRUB se aplica unei singure porniri si nu se scriu niciodata pe disc. Urmatoarea pornire foloseste configuratia normala.

Pot folosi metoda pe un VPS LXC?

Nu. Containerele nu au GRUB si nici kernel propriu. Foloseste optiunea de resetare a parolei din panoul de control sau contacteaza suportul.

De ce nu aleg pur si simplu “recovery mode” din meniul GRUB?

Intrarile de recuperare de pe Debian si Ubuntu pornesc in modul rescue, care de obicei cere parola de root (sau refuza cand root e blocat) inainte sa-ti dea un shell, iar comportamentul exact difera de la o versiune la alta. Asta e in regula cand stii parola si doar sistemul are o problema, dar nu si cand parola e chiar problema. init=/bin/bash nu cere nimic si se comporta la fel peste tot.