BIOS/UEFI Pass Linux / DevOps

Установка и сброс пароля BIOS/UEFI в Astra Linux: руководство

Обновлено: 11.09.2026 · Официальная документация ↗

Специфика работы с паролями BIOS на ОС Astra Linux

На защищенных автоматизированных рабочих местах (АРМ) с операционной системой Astra Linux Special Edition (SE) системный администратор сталкивается с блокировкой входа в BIOS Setup или загрузочное меню (F12/Boot Menu) из-за утерянного пароля администратора (Supervisor Password), либо необходимостью автоматизированного задания пароля в рамках требований безопасности ФСТЭК.

Сценарий	Инструмент	Возможность реализации
Чтение метаданных BIOS	dmidecode	Информационный вывод текущей версии и структуры SMBIOS без правки паролей
Сброс утерянного пароля	Аппаратный сброс (Jumper / Battery)	100% гарантированный сброс CMOS на настольных материнских платах
Программная смена пароля	Вендорные утилиты (Dell, HP, Lenovo)	Возможно через специализированные модули ядра Linux (wmi / sysfs)

Методы установки и аппаратного/программного сброса BIOS

Аппаратный сброс пароля CMOS (Настольные рабочие станции):
- Полностью обесточьте системный блок (извлеките шнур 220V).
- Переставьте перемычку CLR_CMOS (или JBAT1) из положения 1-2 в положение 2-3 на 15–30 секунд, затем верните обратно.
- Если перемычка отсутствует, извлеките литиевую батарейку CR2032 на 10 минут и зажмите кнопку питания ПК на 15 секунд для разрядки конденсаторов.
Программное чтение состояния BIOS в Astra Linux: проверьте модель материнской платы и текущие параметры SMBIOS:
```
sudo apt-get install dmidecode -y; sudo dmidecode -t bios; sudo dmidecode -t baseboard
```
Установка/смена пароля на корпоративных платформах (HP/Lenovo/Dell) через sysfs: современные дистрибутивы Linux поддерживают интерфейс управления настройками BIOS через драйвер think-lmi или dell-wmi-sysman:
```
# Для ноутбуков Lenovo ThinkPad: sudo modprobe think-lmi; cd /sys/class/firmware-attributes/thinklmi/authentication/; echo "СтарыйПароль" | sudo tee Admin/current_password; echo "НовыйПароль" | sudo tee Admin/new_password
```
Сброс энергонезависимой памяти NVRAM на уровне ядра (при софтверных блокировках):
```
sudo mount -t efivarfs efivarfs /sys/firmware/efi/efivars; ls /sys/firmware/efi/efivars/
```

Внимание: В современных корпоративных ноутбуках и доверенных материнских платах (например, с модулями доверенной загрузки Соболь/Аккорд) пароль сохраняется в энергонезависимой микросхеме SPI Flash (EEPROM). Снятие батарейки CMOS на таких устройствах не сбрасывает пароль Supervisor!

💡 Практика специалистов: Практика ITSTM: При администрировании парка отечественных ПК на Astra Linux (Гравитон, Аквариус) используйте фирменные сервисные утилиты конфигурации BIOS от вендора платы, распространяемые в виде .deb-пакетов, чтобы централизованно проливать пароли через Ansible.

Частые вопросы (FAQ)

Можно ли сбросить пароль BIOS утилитой CmosPwd из-под Astra Linux?

Утилита CmosPwd работала исключительно с устаревшими версиями Legacy BIOS (Award, AMI 90-х годов). Современные прошивки UEFI шифруют хеш пароля в защищенной области NVRAM или TPM, поэтому софтверный сброс через CmosPwd невозможен.

Где взять пароль разблокировки (Backdoor/Master Password) по коду ошибки?

Если после трех неверных попыток BIOS выдает системный хеш (System Disabled Code, например, [i 58493021]), сервисный мастер-пароль можно сгенерировать с помощью профильных инженерных калькуляторов bios-pw.org.

Как требования ФСТЭК регламентируют парольную защиту BIOS в Astra Linux?

По требованиям безопасности информации, на АРМ с Astra Linux Special Edition должен быть установлен пароль на BIOS Setup и отключена загрузка с внешних съемных носителей (USB/CD) для предотвращения обхода СЗИ.

Что делать, если пароль BIOS забыт на ноутбуке с неизвлекаемой батареей?

Единственным решением является обращение в авторизованный сервисный центр с документом о покупке, либо выпаивание микросхемы BIOS и прямая перезапись дампа программатором (CH341A).