Sicherheitsupdate Raspberry Pi Bullseye fehlt jetzt der Standardnutzer „pi“

Raspberry Pi soll besser vor Cyberattacken geschützt werden. Deshalb fehlt dem aktuellen Betriebssystem-Update von Bullseye der Standardnutzer „pi“. Dafür erkennt der Pi jetzt Bluetooth-Tastaturen und -Mäuse direkt. Simon Long von Raspberry Pi Trading informiert über die Neuerungen.

Anbieter zum Thema

MicroConsult Microelectronics Consulting & Training GmbH

Syslogic GmbH

NetModule AG

Im Laufe der Jahre hat Raspberry Pi die Sicherheit des Raspberry-Pi-Betriebssystems schrittweise erhöht; nicht als Reaktion auf bestimmte Bedrohungen, sondern eher als allgemeine Vorsichtsmaßnahme. Da Sicherheitsverbesserungen in der Regel auf Kosten der Benutzerfreundlichkeit gehen, versucht die Organisation, das Betriebssysem so benutzerfreundlich wie möglich zu halten und gleichzeitig ein akzeptables Sicherheitsniveau zu bieten. Simon Long, Senior Principal Engineer bei Raspberry Pi Trading, informiert über das neueste Sicherheitsupdate.

Zur Information: Raspberry Pi Trading ist zuständig für die Herstellung und den Vertrieb der PC-Platine Raspberry Pi und wurde 2013 von der Raspberry Pi Foundation abgespalten, um das operative Geschäft vom zweiten Aspekt der Stiftung, dem der Wohltätigkeit, abzugrenzen.

Abschied vom Standardnutzer „pi“

Bis jetzt hatten alle Installationen von Raspberry Pi OS einen Standardbenutzer namens „pi“. Das ist an sich keine große Schwäche –, denn nur einen gültigen Benutzernamen zu kennen, hilft einem Hacker wenig: er müsste auch Ihr Passwort kennen, und Sie müssten überhaupt eine Form des Fernzugriffs aktiviert haben. Nichtsdestotrotz könnte dies einen Brute-Force-Angriff vereinfachen, und als Reaktion darauf führen einige Länder jetzt Gesetze ein, die es verbieten, dass jedes mit dem Internet verbundene Gerät Standard-Anmeldedaten hat.

Mit der neuesten Version des Raspberry-Pi-Betriebssystems Bullseye wird daher der Standardbenutzer „pi“ entfernt, und stattdessen wird beim ersten Booten eines neu geflashten Raspberry-Pi-OS-Images ein Benutzer erstellt.

Dies entspricht der Art und Weise, wie die meisten Betriebssysteme heutzutage arbeiten, und obwohl es zu einigen Problemen führen kann, wenn Software (und Dokumentation) die Existenz des „pi“-Benutzers voraussetzen, scheint es eine sinnvolle Änderung zu sein, die an diesem Punkt vorgenommen wird.

Der neue Assistent

Der Einrichtungsassistent für den Raspberry Pi wird beim ersten Booten ausgeführt, um die internationalen Einstellungen zu konfigurieren, eine Verbindung zum WLAN herzustellen und Software-Updates zu installieren. Außerdem fordert er den Nutzer auf, das Standardpasswort zu ändern. Der Assistent war jedoch bis dato immer optional – wenn der Anwender auf der ersten Seite auf „Abbrechen“ drückte, verschwand er einfach und Anwender waren nicht gezwungen, ihn zu benutzen.

Mit dem aktuellen Betriebsystemupdate ist die Benutzung des Assistenten verpflichtend und es muss ein Benutzerkonto erstellt werden. Ohne Benutzerkonto ist keine Anmeldung am Desktop möglich. Anstatt wie bisher als Anwendung auf dem Desktop selbst zu laufen, wird der Assistent nun beim ersten Start in einer eigenen Umgebung ausgeführt.

Wenn der Anwender jetzt ein neues Image bootet, sieht er die Umgebung des Assistenten. Von hier aus kann er keine Anwendungen ausführen – die Menütaste und der Anwendungsstarter wurden aus der Taskleiste entfernt; in der Taskleiste können Nutzer jetzt lediglich die Lautstärke einstellen und Bluetooth-Geräte koppeln.

Benutzernamen und Passwort sind jetzt zwingend erforderlich

Der Assistent selbst ist weitgehend unverändert. Der Hauptunterschied besteht jetzt darin, dass früher nur die Eingabe eines neuen Passworts erforderlich war, jetzt aber ein Passwort und ein Benutzernamen. Wer möchte, kann wie bisher auf „pi“ und „raspberry“ setzen. Anwender erhalten dann eine Warnmeldung, dass dies unklug ist, aber es ist Ihre Entscheidung – manche Software könnte den „pi“-Benutzer erfordern, also sehen wir das nicht so streng. Aber wir empfehlen ausdrücklich, etwas anderes zu wählen!

Weitere Neuerung: separate Einstellungen für zwei Monitore

Die anderen Einstellungen, die im Assistenten verfügbar waren, sind weitgehend unverändert. Der einzige Unterschied besteht darin, dass die Seite, auf der Nutzer die Kompensation für Monitore mit Overscan – ein schwarzer Rand um das Bild – vornehmen können, jetzt separate Einstellungen für beide Monitore hat, wenn ein zweiter Monitor angeschlossen ist. Zudem ist die Änderung der Einstellung jetzt sofort – also ohne Neustart – wirksam.

Haben Sie auf der letzten Seite des Assistenten auf die Schaltfläche „Neustart“ geklickt, erscheint nach einem Neustart der vertraute Raspberry Pi Desktop, bei dem Sie als der gerade erstellte Benutzer angemeldet sind. Von nun an funktioniert alles wie gewohnt.

Benutzerkonto auch bei Raspberry Pi OS Lite erforderlich

Wenn Sie Raspberry Pi OS Lite verwenden, das nicht über den Assistenten verfügt, müssen Sie trotzdem ein neues Benutzerkonto erstellen. Sie werden daher beim ersten Booten eines Lite-Images durch Textaufforderungen in der Kommandozeile aufgefordert, ein Konto zu erstellen.

Headless-Einrichtung

Für Personen, die ihren Raspberry Pi ohne Benutzerkonto betreiben und daher nicht mit dem Assistenten arbeiten können, bietet das Tool Raspberry Pi Imager die Möglichkeit, ein Image mit einem Benutzerkonto vorzukonfigurieren; wenn ein auf diese Weise erstelltes Image zum ersten Mal gebootet wird, erscheint es direkt auf dem Desktop und ist als der im Imager erstellte Benutzer angemeldet.

Um ein Image auf diese Weise vorzukonfigurieren, klicken Sie nach der Auswahl des Quell- und Zielbildes im Imager auf die Schaltfläche „Einstellungen“ – das Bild eines Zahnrads – bevor Sie auf „Schreiben“ klicken, und verwenden Sie das Menü „Erweiterte Optionen“, um einen Benutzernamen und ein Passwort sowie alle anderen gewünschten Voreinstellungen einzugeben.

Raspberry Pi OS ohne Assistenten einrichten

Es gibt auch Mechanismen, mit denen man ein Image vorkonfigurieren kann, ohne Imager zu verwenden. Um einen Benutzer beim ersten Start einzurichten und den Assistenten komplett zu umgehen, erstellen Sie eine Datei namens userconf oder userconf.txt in der Boot-Partition der SD-Karte; dies ist der Teil der SD-Karte, der sichtbar ist, wenn diese in einen Windows- oder MacOS-Computer eingebunden wird.

Diese Datei sollte eine einzige Textzeile enthalten, die aus username:encrypted- password besteht – also Ihr gewünschter Benutzername, unmittelbar gefolgt von einem Doppelpunkt, unmittelbar gefolgt von einer verschlüsselten Darstellung des gewünschten Passworts.

Um das verschlüsselte Passwort zu erzeugen, ist es am einfachsten, OpenSSL auf einem bereits laufenden Raspberry Pi zu verwenden. Öffnen Sie dazu ein Terminalfenster und geben Sie folgendes ein:

echo 'meinpasswort' | openssl passwd -6 -stdin

Das Ergebnis sieht aus wie eine Zeichenkette aus zufälligen Zeichen, ist aber in Wirklichkeit eine verschlüsselte Version des angegebenen Passworts.

Vorhandene Installationen

Nachdem Sie die obigen Ausführungen gelesen haben, fragen Sie sich vielleicht, ob Sie den Benutzer „pi“ auf Ihren bestehenden Images umbenennen können. Als Teil dieses Updates ist ein Mechanismus integriert, der dies ermöglicht: Nachdem Sie das Update wie beschrieben durchgeführt haben, stellen Sie sicher, dass Sie als „pi“-Benutzer angemeldet sind, öffnen Sie ein Terminalfenster und geben Sie folgendes ein:

sudo rename-user

Nach einer kurzen Pause werden Sie aufgefordert, den Raspberry Pi neu zu starten. Der Raspberry Pi startet dann mit einer abgespeckten Version des Assistenten für den ersten Start, mit der Sie nur den Benutzernamen und das Passwort ändern können. Sobald Sie einen neuen Benutzernamen und ein neues Passwort eingegeben haben, werden Sie zum Neustart aufgefordert. Während des Neustarts werden Ihr bestehender Benutzer (und Ihr Home-Verzeichnis) umbenannt, aber keine weiteren Änderungen vorgenommen.

Vorsicht bei Raspberry Pi Software mit fixem Homeverzeichnis

Die meiste Raspberry Pi Software (wenn sie richtig geschrieben wurde...) sollte mit der Umbenennung des Home-Verzeichnisses umgehen können und wie zuvor weiterarbeiten, aber es ist möglich, dass einige Codes mit einem fest kodierten Pfad zum /home/pi-Verzeichnis geschrieben wurden. Dieser muss dann geändert werden, um mit dem umbenannten Benutzer korrekt zu arbeiten.

Beachten Sie, dass dieser Prozess nicht über eine VNC-Verbindung funktioniert, da beim Umbenennen des Benutzers vorübergehend ein anderer Benutzer angelegt und angemeldet werden muss. Sie müssen daher ein lokaler Benutzer sein, um den Benutzer „pi“ umbenennen zu können.

Derselbe rename-user-Befehl kann auch auf einem Lite-Image verwendet werden, um den bestehenden „pi“-Benutzer umzubenennen; in diesem Fall werden dieselben Befehlszeilen-Eingabeaufforderungen ausgeführt, die auch für die Einrichtung eines Benutzers beim ersten Start im Lite-Image verwendet werden.

Raspberry Pi meistert nun auch Bluetooth-Peripheriegeräte

Bei der Erstellung des neuen Assistenten haben wir beschlossen, ein seit langem bestehendes Problem zu lösen. Wenn Sie eine Bluetooth-Tastatur oder -Maus mit Ihrem Raspberry Pi verwenden möchten, mussten Sie bisher immer eine USB-Maus und/oder -Tastatur verwenden, um die Bluetooth-Peripheriegeräte zu koppeln, was ein wenig irritierend ist.

Diese Anforderung wurde im neuen Assistenten entfernt. Wenn er gestartet wird, werden Sie auf der ersten Seite aufgefordert, eine beliebige Bluetooth-Tastatur oder -Maus in den Pairing-Modus zu versetzen und dann zu warten. Solange Sie sich auf der ersten Seite des Assistenten befinden, sucht der Raspberry Pi nun nach koppelbaren Bluetooth-Mäusen und -Tastaturen und koppelt die erste gefundene automatisch. Sie werden Meldungen sehen, die anzeigen, dass ein Bluetooth-Gerät gefunden wurde – es kann sein, dass Sie einige Sekunden warten müssen, nachdem der letzte „Verbunden“-Dialog erscheint, bis das neu verbundene Gerät vom System verwendet werden kann.

Dies funktioniert sowohl mit dem eingebauten Bluetooth-Adapter des Raspberry Pi 3 und 4 als auch mit USB-Bluetooth-Adaptern früherer Raspberry-Pi-Modelle. Sie müssen lediglich sicher stellen, dass der USB-Adapter eingesteckt ist, bevor der Raspberry Pi gebootet wird.

(ID:48194743)