Comment puis-je rendre difficile l'installation d'un nouveau système d'exploitation sur un certain ordinateur?

Je souhaite héberger un site Web sur un ordinateur de bureau exécutant Ubuntu avec une machine virtuelle Windows. Je donnerai l'ordinateur en échange d'un certain nombre de mois d'hébergement Web à distance. Je veux ajouter une sorte de verrou (matériel ou autre) afin que les utilisateurs finaux aient du mal à réinstaller Windows et à utiliser la machine comme ils le souhaitent, en contradiction avec le contrat.

Idéalement, je voudrais que la machine meure si la réinstallation du système d'exploitation est tentée. Il ne doit pas être complètement insurmontable , mais il doit être suffisamment difficile pour empêcher une réinstallation occasionnelle . Peut-être qu'au démarrage, le système peut vérifier si certains fichiers existent sur l'ordinateur et refuser de démarrer si ce n'est pas le cas. Je ne sais pas si cela est possible, mais le BIOS est peut-être protégé par mot de passe et recherche les fichiers avant de démarrer. Les fichiers qu'il recherche peuvent être sensibles à la date, c'est-à-dire nécessiter un remplacement à distance selon un calendrier.

Les seuls outils dont vous disposez pour empêcher l'installation d'un nouveau système d'exploitation sur du matériel PC standard seraient de faire quelque chose comme ceci:

• Verrouillez le boîtier. Utilisez la fente Kensington si votre boîtier en a une, sinon verrouillez-la physiquement.

• Configurez un mot de passe de configuration du BIOS.

• Configurez le BIOS pour démarrer uniquement à partir du premier disque dur, pour ne pas démarrer sur un périphérique USB externe, un réseau local ou un CD-ROM. Expédiez l'ordinateur sans CD-ROM et / ou disquette si possible. Déconnexion interne ou ports USB époxy.

• Je ne sais pas si vous pouvez configurer GRUB pour ne jamais démarrer à partir d'un disque externe, mais si c'est possible, GRUB devrait être configuré de cette façon.

• Sélectionnez de bons mots de passe root et utilisateur.

Bien sûr, s'ils ouvrent physiquement le boîtier, vous ne pouvez pas faire grand-chose, mais cela devrait empêcher la réinstallation occasionnelle d'un autre système d'exploitation.

Si vous autorisez quelqu'un à accéder physiquement à une machine, vous ne pouvez rien faire pour l'arrêter.

Vous pouvez remplacer toutes les vis visibles par un Torx de sécurité, en particulier les vis qui maintiennent le disque dur en place. De cette façon, ils ne peuvent pas installer un autre système d'exploitation sur un autre disque dur, échanger le disque dur, puis démarrer à partir du nouveau disque dur. Tout le monde peut acheter des pilotes de sécurité Torx, mais cela ralentira une personne normale, qui n'en aura probablement pas dans sa boîte à outils.

Il y a quelques ordinateurs Dell qui ont besoin d'un mot de passe administrateur pour démarrer à partir d'autre chose que le disque dur. L'inconvénient étant que si la batterie CMOS est retirée pendant 30 secondes, ils pourraient alors contourner tous les paramètres du BIOS précédemment définis car ils sont tous complètement restaurés. Mais c'est juste mes 2 cents. À moins que la personne à qui vous donnez cela en sache vraiment trop sur la réinitialisation du BIOS uniquement pour installer Windows, ne lui donnez pas d'ordinateur, mais sinon, cela peut empêcher une installation occasionnelle.

Faites ce que font la plupart des entreprises, faites-leur signer un contrat disant que vous refusez de le prendre en charge si elles changent de système d'exploitation.

À la question des commentaires:

S'il existe un moyen de faire mourir un ordinateur s'il n'a pas de connexion Internet pendant quelques jours.

Oui, possible, mais uniquement sur une base occasionnelle et vulnérable aux problèmes de réseautage.

Vous pouvez mettre un script dans la section init-script, qui vérifie l'accès à Internet et fait shutdowns'il n'y a pas d'accès.

Des scripts plus élaborés pourraient écrire dans un protocole ou accéder à un site Web en fonction de la date.

Si l'utilisateur dispose de privilèges de superutilisateur, il peut détecter le script, le supprimer, le désactiver et le manipuler de toutes les manières.

Par conséquent, vous devez désactiver le mode «sauvetage» dans grub et désactiver la possibilité de modifier grub par interruption au démarrage.

Si l'utilisateur rencontre des problèmes de réseau aléatoires, la machine peut s'arrêter accidentellement.

• Configurez le BIOS pour démarrer d'abord sur le disque dur (ce qui supprime la possibilité de démarrer à partir d'un périphérique USB / CD-ROM)
• Définissez un mot de passe BIOS
• Assurez-vous que l'utilisateur du système d'exploitation n'a pas de privilèges d'administrateur (c'est-à-dire qu'il ne peut pas insérer un CD d'installation sous Windows / Linux et le faire à partir de là).

Cela devrait vous donner le niveau de sécurité que vous recherchez.

En option matérielle, vous pouvez utiliser un boîtier d'ordinateur sécurisé. J'ai acheté cet étui il y a longtemps (il n'est plus disponible, mais vous donne une idée de ce que vous recherchez). Il a une porte avant verrouillable et un panneau latéral verrouillable (l'autre panneau latéral est rivé, ne se détache pas). Fondamentalement, si tout est verrouillé, tout ce que vous pouvez accéder est les connecteurs arrière et quelques connecteurs du panneau avant (deux USB, un FireWire400). Il n'y a pas d'accès aux disques, au bouton d'alimentation ou au bouton de réinitialisation. L'onglet de verrouillage réel est uniquement en plastique, donc je suis sûr qu'il pourrait être cassé avec suffisamment de force, mais vous ne recherchez pas ici une sécurité de qualité CIA. Cela devrait suffire à les décourager.