V nejnovější verzi Raspbianu je ve výchozím nastavení zakázán SSH přístup

Příspěvek na blogu nadace Raspberry Pi je věnován bezpečnostním vylepšením v nejnovější verzi Raspbianu s desktopovým prostředím PIXEL. V oficiálních obrazech je nově zakázán SSH přístup. Ten lze samozřejmě povolit po zavedení Raspbianu pomocí nástroje raspi-config. Nemá-li uživatel k Raspberry Pi připojený terminál, může SSH přístup povolit vytvořením souboru ssh v adresáři /boot. Raspbian nově upozorňuje uživatele na bezpečnostní riziko, je-li SSH přístup povolen a uživatel pi nemá změněno výchozí heslo.

30.11.2016 19:19 | Ladislav Hagara | Nová verze

Komentáře

[Petr Tomasek]

Hm, nějak jim to píčovinovatí...

[R]

To je len pre lamy. Sudny clovek nebude pouzivat hotove image, ale urobi cistu instalaciu cez raspbian-ua-netinst, pripoji sa cez SSH a doinstaluje potrebne baliky.

[k3dAR]

To je len pro lamy. Soudny clovek se bude rozhodovat jestli neni LFS pro lamy a jestli ma pouzit Linux jadro nebo pomoci s portaci Hurd na RPi...

[balki]

To je pro lamy. Soudny clovek pouziva rasberry pi bare metal a komunikuje spinanim dvou dratku na gpio.

[Honz]

To je pro lamy. Soudny clovek pouziva death&black metal...

[pepe_]

To je pro lamy. Soudny clovek procitne z matrixu.

[Petr Tomášek]

stokrát ohranej vtip

[JZD]

Nějak nechápu, můžete to vysvětlit česky?

[Jendа]

V čem je to lepší než použít tu minimální verzi Raspbianu bez GUI?

Já teda ještě potom přeinstalovávám všechny balíky z Debianu pro armhf, protože oni to mají zkompilované pro armv6 a pak mi třeba v GCC nechodí Neon.

[pc2005]

Irenko, já se ptám proč ... proč?

[Peter Golis]

Konečne si uvedomili že ten ich školský počítač, čo urobili z prehrávača, slúži len ako prehrávač. A nik to nepoužíva ako učebnú pomôcku.

[little.owl]

A nik to nepoužíva ako učebnú pomôcku.

RPi jsou v UK celkem bezne pouzivane na zakladnich a strednich skolach.

[Peter Golis]

RPi jsou v UK celkem bezne pouzivane na zakladnich a strednich skolach.

V tom prípade ale nie je potrebné vypínať SSH.

[little.owl]

Presne naopak.

[Petr Tomášek]

To je blbost.

Dva argumenty:

a) na základní a střední škole je nutné naučit děti, že heslo je třeba změnit

b) na ZŠ a SŠ musí být tyto hračky za solidním firewallem nebo rovnou v oddělené síti.

Není žádný důvod SSH zakazovat..

[deda.jabko]

Dva argumenty:

A ani jeden neni validni.

a) na základní a střední škole je nutné naučit děti, že heslo je třeba změnit

To, ze neco nekoho naucis na zakladni skole, neznamena, ze to tak bude/musi delat.

b) na ZŠ a SŠ musí být tyto hračky za solidním firewallem nebo rovnou v oddělené síti.

Mas levny pocitac, ma motivovat deti programovat, nemel by byt dimenzovany i tak, aby si jej deti mohli poridit domu a tam na nem v klidu programovat? Meli by si tyto deti doma nastavit solidni firewall, kdyz jeste poradne nevi, co je to pocitac?

[Peter Golis]

Takže vravíš, že na škole nemajú učiť počítačovú gramotnosť a ani základy bezpečnosti na predmete výpočtová technika.

Vždy ma fascinovala logika odborníkov z národného bezpečnostného úradu.

[deda.jabko]

A to je presne o cem mluvim...

Takže vravíš, že na škole nemajú učiť počítačovú gramotnosť a ani základy bezpečnosti na predmete výpočtová technika.

Tebe asi taky ve skole ucili cist, ale evidentne si z toho do dneska hodne zapomnel.

Nikde nepisu, ze by se neco nemelo ucit. Pouze tvrdim, ze kdyz neco nekoho budes ucit ve skole, neznamena to, ze to bude znat nebo pouzivat vzdy. Coz je bohuzel realita.

[Peter Golis]

Takže prvý argument v diskusii ktorý nie je valídny si použil ty. A si na to patrične hrdý.

[Conscript89]

Taky mohli jit cestou zakazat v configu login heslem a povolit ssh klicem + nejaky navod jak pracovat s ssh klici v ruznych OS.

[petrfm]

bo to je asi bezpecnejsi a hlavne jednodussi, ze? :)

[Conscript89]

Jak je to bezpecnejsi? Jedine co me napada je, ze je to bezpecnejsi pro ty, co ssh vubec nepouzivaji protoze ani nepobezi.

[Petr Tomášek]

nějak jsi nedetekoval ironii.

přihlašování klíčem pochopitelně oproti heslu (silnému) nijak zvlášť bezpečnější není...

[Conscript89]

Asi ne no, detekovat ironii mi casto dela problem.
To neni uplne pravda, ano, neni pravda ze by to bylo vzdy bezpecnejsi, ale v pripade zaheslovaneho klice to bezpecnejsi do jiste miry je, protoze potrebujes jak klic, tak heslo k nemu.

[Petr Tomášek]

Problém ale není v přihlašování heslem (to je samo o sobě bezpečné), ale v tom, že tam zůstává defaultní heslo.

[R]

Namiesto defaulneho hesla by tam bol defaultny kluc :D Ale hlavne, ze budu zakazane hesla, takze to je bezpecne.

[Conscript89]

Ehm, to jsem nikdy nerekl. Nahrani vlastniho klice je mount, cp, umount. Kdezto povoleni sluzby (dobre, usnadneno souborem) a nastaveni hesla pred bootem je uz komplikovanejsi. Nikdy jsem nerekl nic o tom, ze by tam byl klic v tom imagi.

[petrfm]

No jasne takze misto aby user spustil config, ktery ho provede zakladnim nastavenim a zmena hesla / zapnuti sluzby je otazkou dvou vterin, pripadne nakopiruje na SD jeden soubor, tak se bude hodinu ucit, jak se zachazi s klici a mnozi i to, co to ten klic vlastne je, ze?

Nekdy mi prijde, ze polovina zdejsich diskutujicich je naprosto odtrzena od reality a nedokaze se povznest mimo svuj matrix a pochopit, ze existuji na svete i lidi, kteri rano nezacinaji loginem do bashe a den nekonci prikazem shutdown -i

Uvedom si, ze RPi casto berou do ruky lidi, pro ktere je slozite i to kopirovani souboru, ptze s linuxem zacinaji. Tak jim nahazeme klacky pod nohy, aby se na to vys*ali hned ze startu, protoze se k tomu kramu ani neprihlasi, ze?

[Conscript89]

Jestli ses musel ucit koncepty asymetricke kryptografie pro pouziti ssh klice, tak ti reknu ze jsi to nemusel delat. Ano je to dobre znat, ale vysvetluje se to snad treba na githubu? Je to problem na githubu? Co brani tomu aby v rpi-configu bylo povoleni prihlasovani heslem tak jako je tam dnes zapinani ssh? Nekdy mi prijde ze si nekteri neuvedomuji ze existuji reseni, ktera mohou byt bezpecna a potencialne vyhovovat vice uzivatelum.

[R]

Neviem, preco by sa to malo na githube vysvetlovat. Github pouzivam a na ziadny kluc som nenarazil.

[k3dAR]

pokud chces stahovat pres git naprimo (tedy ne pres http(s)), nebo chces vlastni repositar kam budes neco posilat, tak v konfiguraci github uctu mas policko "pridat svuj klic" ;)

[R]

Mozno tam je, ale nepouzivam. Repozitarov mam niekolko a git push funguje aj s heslom.

[Jendа]

Nahrani vlastniho klice je mount, cp, umount.

Oni se strašně zaměřují na windowsáky, kteří s Linuxem neumí a umět nechtějí.

[Conscript89]

No ano, proto bych tam nechal klidne default heslo na lokalni login a zakazal login heslem po siti, nic vic, nic min.

[Petr Tomášek]

Jenže to je vopruz, protože se tam napoprvé nikdo po síti nedostane.

A stejně, normální lidi si heslo hned na začátku změní (když mají zařízeno připojeno do testovací VLAN nebo přímo do jiného počítače...). Chtít po někom, aby si připojoval k RPi klávesnici a monitor, když jej chce provozovat jako jednoúčelový servřík, je dost hloupé...

[Conscript89]

Ten co si tam zkopiruje klic se tam dostane ne? Nebo ten co si zmeni jeden radek v configu a dostane se tam tak pomoci pomoci proflaknuteho hesla po siti. Ja po nikom nechci aby si raspberry pripojoval do oddelene site nebo aby si k nemu pripojoval klavesnici a mys.

[Petr Tomášek]

Měnit cokoliv v tom jejich posraném configu je dost vopruz. Už proto, že je nutné RPi vypnout, vyjmout kartu, přimountovat (BTW, kterýho pičuse napadlo, že ten konfig musí být na FAT???), zkopírovat, odmountovat, přesunout kartu zase zpátky, nabootovat a když to nefunguje, tak zase celé znovu. Totální zovadilost...

[Conscript89]

Ehm, ja mluvim porad o ssh configu.

[Petr Tomášek]

To mluvíš o hovně, protože když se na stroj nepřipojíš, tak ani nemáš šanci změnit ssh_config...

[Conscript89]

Asi kazdy mluvime o necem jinem ...

[k3dAR]

co ti brani primontovat /dev/mmcblk0p1 v bezicim rpi? resp. neni ono to uz primontovane do /boot? (nejsem si ted jistej jak to ma primej Rapbian, bezi mi ted na RPi startovanej pres BerryBoot a v /boot to mam...

[petrfm]

Souhlas. Pritom kdyz uz se srali s tou upravou a pridavali tam funkcionalitu pro nacteni konfigurace z SD karty, tak tam mohli prece jednoduse pridelat skript, ktery by po prvnim loginu VYZADOVAL aby si user nastavil/zmenil heslo pro prihlaseni k SSH, jinak by ho vypnul. Jednoduche jak facka a nikdo by na to nezapominal, ani nemusel dumat co se deje, proc to nejede.

[k3dAR]

takto to ma Armbian, pri prvnim prihlaseni (v konzoli) vyzve ke zmene vychoziho hesla na vlastni a nepustit te dal dokud ho nezmenis...