Raspberry Pi: Schutz gegen Übernahme durch Hacker und Botnetze verbessert

Mit einem Raspbian-Update soll der Raspberry Pi besser gegen Missbrauch geschützt werden. SSH ist standardmäßig nicht mehr aktiv.

Artikel veröffentlicht am 3. Dezember 2016, 15:33 Uhr, Alexander Merz

Boot-Splashscreen (Bild: Alexander Merz/Golem.de)

Bei Raspbian, dem Standard-Betriebssystem für den Raspberry Pi, ist in der aktuellen Version vom 25. November 2016 der Zugriff per SSH (Secure Shell) standardmäßig deaktiviert worden. SSH dient dem Zugriff auf Computer über ein Netzwerk. Der Entwickler des Raspberry Pi, die Raspberry Pi Foundation, reagiert damit auf die zunehmenden Berichte über die Übernahme von Geräten in Computernetzwerken durch Hacker und Botnetze.

Um SSH bei der neuen Raspbian-Version zu aktivieren, muss ein Nutzer es nun aktiv mit dem Konfigurationswerkzeug raspi-config einschalten. Es steht in aktuellen Raspbian-Versionen sowohl als Desktopprogramm als auch als Kommandozeilenprogramm zur Verfügung. Alternativ kann SSH auch aktiviert werden, indem auf der SD-Karte mit der Betriebssystem-Installation eine Datei mit dem Namen ssh im Verzeichnis /boot/ erzeugt wird. Der Inhalt der Datei spielt keine Rolle. Sieht das Betriebssystem diese Datei beim Booten, dann wird SSH dauerhaft aktiviert und die Datei gelöscht.

Standard-Nutzer mit Standard-Passwort

Obwohl bislang keine Angriffe durch von Hacker gekaperte Raspberry Pis bekannt wurde, besteht die Gefahr durchaus: Bei einer Standard-Installation von Raspbian wird ein Standard-Nutzer mit einem vorgegebenen Passwort angelegt, das auch für den Root-Zugriff genutzt wird. Das Passwort kann der Benutzer ändern, muss es aber nicht. Das widerspricht einschlägigen Sicherheitsempfehlungen. Allerdings empfiehlt die Raspberry Pi Foundation explizit die Änderung des Standardpassworts.

Raspberry Pis finden zunehmend Verbreitung. Deshalb steigt die Gefahr, dass die Bastelcomputer attraktiv für die Übernahme von Botnetzen werden. Ein Raspberry Pi, der zum Beispiel als Mediacenter dient, würde so zum Angriffswerkzeug auf Webseiten. Der Benutzer muss das nicht unmittelbar bemerken.

Die Änderung ist das erste wesentliche Update, seit die Raspberry Pi Foundation eine überarbeitete Version von Raspbian im September 2016 vorgestellt hat. Mit dem damaligen Update wurde unter dem Namen Pixel ein neuer Desktop eingeführt.