Scenariul clasic: ai un server Linux sau o mașină virtuală, ai uitat parola de root sau a singurului user cu acces sudo, și trebuie să intri. În 2008 am trecut prin asta — instalasem un „server” acasă, uitasem parola de root și nu mai creasem alt user. Panica a durat vreo 30 de secunde, până mi-am amintit de single user mode.

Ghidul de mai jos acoperă toate metodele, actualizate pentru distribuțiile moderne din 2025.

Metoda 1 — passwd dacă ai acces la un user sudo

Cea mai simplă situație: ai uitat parola de root, dar ai acces la un user care e în grupul sudo.

Schimbă parola root:

sudo passwd root

Schimbă parola unui alt user:

sudo passwd username

Sistemul îți va cere parola user-ului tău sudo (nu parola root), apoi îți va permite să setezi parola nouă.

Pe Ubuntu și Debian moderne, contul root e dezactivat implicit — nu are parolă setată și nu poți loga direct ca root. Comanda de mai sus îi setează o parolă și îl activează. Alternativ, folosești sudo -i sau sudo su pentru a obține un shell root fără să activezi contul root direct.

Metoda 2 — Recovery Mode pentru Ubuntu și Debian

Când nu ai niciun user cu sudo disponibil și ai acces fizic la mașină.

Pași pentru Ubuntu 20.04 / 22.04 / 24.04 și Debian 11/12:

1. Repornește mașina
2. Ține apăsat Shift (BIOS legacy) sau apasă Esc repetat (UEFI) în timpul boot-ului pentru a intra în meniul GRUB
3. Selectează Advanced options for Ubuntu (sau Debian)
4. Selectează intrarea cu (recovery mode)
5. Din meniul recovery, selectează root — Drop to root shell prompt
6. Sistemul de fișiere e montat read-only. Remontează-l read-write:

mount -o remount,rw /

7. Schimbă parola:

passwd root
# sau pentru un user specific:
passwd username

8. Reboot:

reboot

Notă pentru sisteme cu GRUB protejat cu parolă: dacă administratorul anterior a setat o parolă GRUB, nu poți edita intrările de boot fără aceasta. În acest caz, treci la Metoda 4 (Live USB).

Metoda 3 — Single User Mode pentru CentOS, Rocky Linux și RHEL

Distribuțiile Red Hat-based folosesc o metodă ușor diferită, mai robustă față de recovery mode Ubuntu.

Pași pentru CentOS 7/8, Rocky Linux 8/9, RHEL 8/9:

1. Repornește mașina
2. În meniul GRUB, selectează intrarea de boot și apasă e pentru a edita
3. Găsește linia care începe cu linux sau linuxefi
4. La sfârșitul acelei linii, adaugă: rd.break
5. Apasă Ctrl+X pentru a boota cu parametrul adăugat
6. Sistemul pornește în initramfs shell. Remontează sistemul de fișiere:

mount -o remount,rw /sysroot

7. Intră în chroot:

chroot /sysroot

8. Schimbă parola:

passwd root

9. Dacă sistemul folosește SELinux (implicit pe RHEL/CentOS/Rocky), creează fișierul de relabel:

touch /.autorelabel

10. Ieși și reboot:

exit
exit

Sistemul va face relabel SELinux la primul boot — poate dura câteva minute pe sisteme cu mulți fișiere.

Metoda 4 — Live USB când nu poți boota

Când GRUB e corupt, sistemul nu bootează deloc sau meniul GRUB e protejat cu parolă necunoscută.

1. Bootează de pe un Live USB (Ubuntu Live, Fedora Live, SystemRescue)
2. Identifică partiția root a sistemului instalat:

lsblk
# sau
fdisk -l

3. Montează partiția (înlocuiește /dev/sda2 cu partiția corectă):

mount /dev/sda2 /mnt

4. Schimbă parola direct în fișierul shadow folosind chroot:

chroot /mnt
passwd root

5. Ieși, demontează și reboot:

exit
umount /mnt
reboot

Dacă partiția e criptată cu LUKS (din ce în ce mai comun pe instalări recente), va trebui să o deschizi mai întâi:

cryptsetup open /dev/sda2 cryptroot
mount /dev/mapper/cryptroot /mnt

De ce funcționează — și ce înseamnă pentru securitate

Toate metodele de mai sus se bazează pe un principiu fundamental: accesul fizic la o mașină înseamnă control complet asupra ei. Dacă cineva poate boota de pe un Live USB sau edita parametrii GRUB, poate resetă orice parolă.

Aceasta nu e o vulnerabilitate care se poate „patch-ui” complet — e o realitate fizică. Ce poți face pentru a reduce riscul:

• Parolă GRUB — previne editarea parametrilor de boot fără autentificare. Se configurează în /etc/grub.d/40_custom și se regenerează cu update-grub.
• Parolă BIOS/UEFI — previne bootarea de pe dispozitive externe
• Criptare disk (LUKS) — chiar dacă cineva accesează fizic discul, nu poate citi datele fără cheia de decriptare
• Securitate fizică — pentru servere, accesul în sala de servere e prima linie de apărare

Pe VPS-uri și servere cloud, accesul fizic nu e relevant — dar providerii oferă de obicei o consolă de urgență (VNC/KVM) din panoul de control, care simulează accesul fizic. Dacă ai uitat parola pe un VPS, verifică consola din panoul Hetzner, DigitalOcean, Vultr sau orice alt provider.

Cazuri speciale

Cont user blocat (nu root):

# Deblochează contul
sudo passwd -u username
# Sau setează o parolă nouă
sudo passwd username

Parola expirată forțat de politica de sistem:

# Verifică statusul
sudo chage -l username
# Resetează data de expirare
sudo chage -d 0 username  # forțează schimbare la next login
# sau
sudo chage -M 99999 username  # dezactivează expirarea

Pe VPS fără consolă KVM: majoritatea providerilor au o opțiune „Reset Root Password” sau „Rescue Mode” în panoul de control — bootează sistemul într-un mediu minimal cu acces root direct.

Rezumat rapid

• Ai un user sudo disponibil → sudo passwd root
• Ubuntu/Debian, acces fizic → Recovery Mode din GRUB
• CentOS/Rocky/RHEL, acces fizic → rd.break în parametrii kernel
• Nu poți boota deloc → Live USB + chroot
• VPS/server cloud → consola de urgență sau Rescue Mode din panoul provider-ului