Raspberry Pi OS offert standaardaccount op voor security

Het Raspberry Pi OS had het standaard-account om het starten van het apparaatje mogelijk te maken zonder dat eerst een reeks stappen moet worden doorlopen om een gebruikersaccount aan te maken. Zo hoefde bijvoorbeeld niet gelijk een monitor aan het Pi-bordje te worden aangesloten.

Maar daar gaat nu dus verandering in komen. In een blog legt software engineer Simon Long van de Raspberry Pi Foundation de achtergrond uit. Steeds meer landen werken aan een verbod op het gebruik van standaard accounts bij apparatuur die op internet kan worden aangesloten.

Het is natuurlijk de bedoeling bij een standaard account dat er na de eerste inlog een nieuw sterk wachtwoord wordt gekozen. Veel gebruikers nemen echter niet die moeite en blijven het standaard wachtwoord gebruiken. Dan wordt het de aanvallers wel erg makkelijk gemaakt. Maar ook al wordt het wachtwoord aangepast, dan nog kan de aanvaller er met grote zekerheid vanuit gaan dat er een admin-account op het apparaatje bestaat dat met de default-gebruikersnaam 'pi' bestaat. Dat vergroot de kans dat een 'brutekracht'-aanval succesvol is. En van de twee componenten van de login is dan immers al bekend.

Er ligt wel een addertje onder het gras. De meeste software voor Raspberry Pi's zou er geen problemen mee moeten hebben dat de home directory van het OS van naam verandert. Maar Long houdt wel een slag om de arm.

Software-aanpassingen vereist

Net zoals ooit met de omslag van Windows 9x naar Windows XP kan de overgang naar betere beveiliging een struikelblok zijn voor software die uitgaat van aannames voor de oude situatie. Applicaties en code die ingebouwde (hard-coded) verwijzingen hebben naar de directory /home/pi hebben dan die standaardmap ineens niet meer.

Die software moet dus aangepast worden om weer naar behoren te werken met het hernoemde gebruikersaccount. Bijkomende complicatie is nog dat de 'wisseling' van gebruikersaccounts tijdens de eerste ingebruikname niet werkt via een VNC-verbinding (virtual network computing). Eindgebruikers moeten daarvoor lokaal ingelogd zijn.