Je me présente: Michel, de Belgique. J’ai acheté un Raspberry Pi 3B il y a six mois environ et voilà seulement que j’ai un peu de temps à consacrer à cette merveilleuse machine…
Je suis informaticien mais j’ai très peu utilisé Linux par le passé, et c’était il y a un certain temps donc j’ai oublié la plupart de mes connaissances en la matière. J’apprends toutefois assez vite. Et je découvre, des étoiles plein les yeux, le potentiel extraordinaire de ce petit appareil… Ce potentiel n’a de limite que notre imagination…
A terme je souhaite faire un système de surveillance de mon domicile avec le Pi (Webcam + Micro, accessible à distance, détecteurs de fumée, de CO…). Je souhaite également faire un peu de démotique avec le Pi (domoticz, jeedom ?) afin de pouvoir piloter à distance certains équipements, prédéfinir des scénarios pour automatiser la gestion du chauffage central etc.
Seulement avant de passer aux applications concrètes, je veux construire des bases solides. J’ai donc acheté deux cartes micro SD de classe 10, sur lesquelles j’ai installé Raspbian (via NOOB). En cas de crash de mon support de stockage j’aurai donc toujours un backup à disposition.
Je tiens également à ce que l’OS soit totalement et correctement configuré et sécurisé avant toute mise en application. Je fais par là allusion aux mots de passe à configurer, bien longs et complexes, à un compte utilisateur spécial à créer (ne pas se servir de pi), désactivation de la connexion automatique en tant que pi au démarrage etc.
Je suis parvenu à l’instant, suite à une petite recherche sur le net, à définir un mot de passe pour le compte root. En effet, je ne veux pas pouvoir ouvrir de session bureau en tant que super utilisateur. Mais je veux pouvoir néanmoins utiliser le root ponctuellement lorsque cela s’avère absolument nécessaire.
Mais deux choses m’interpellent:
1° Lorsque je tape dans le terminal une commande précédée de sudo (exemple: sudo ls -l) la machine me demande le mot de passe de mon compte utilisateur personnel… Une fois que je l’ai entré correctement, la commande est exécutée… J’en déduis que mon compte a les droits « root » ce qui me semble une faille de sécurité qu’en pensez-vous ? Il me semble plus opportun d’attribuer à root un mot de passe très complexe, que l’on utilisera ponctuellement…
2° Cette capacité qu’a un compte utilisateur à ponctuellement hériter des droits root n’est-elle pas liée au fait que ledit compte fasse partie du groupe « sudo » ? Si oui je serais bien tenté de retirer mon compte de ce groupe sudo, afin d’empêcher l’héritage même ponctuel, et d’obliger à se servir du véritable mot de passe root le cas échéant…
Enfin je me demande s’il ne serait pas indiqué de supprimer purement et simplement le compte par défaut (pi). En effet, j’ai créé mon propre compte… Le compte pi ne m’est donc plus d’aucune utilité à priori. Il constitue d’autre part une faille de sécurité puisqu’il est standard (sur tous les pi) donc c’est le premier username qu’un hacker potentiel va tenter d’utiliser… Qu’en pensez-vous ?
Merci d’avance à tous pour vos conseils précieux et au plaisir de vous lire.
Meilleurs voeux pour 2019.
Cordialement,
Michel
moi à ta place je n’ouvrirai pas le port SSH vers l’extérieur, comme ça tu peut utiliser le user pi si tu change pour un vrais mot de passe
pour la gestion à distance tu monte un petit serveur web qui va gérer tes cameras et autre domotique.
regarde j’ai fait une petit série de tutos, il y en a une qui traite de motion pour pouvoir voir la vidéo de la camera depuis ton smartphone.
tu a au moins une piste.
L’utilisation de sudo est une pratique très courante dans le monde Linux. L’utilisation du compte root est impérative même si elle doit être effectivement limitée aux seules tâches d’administration de la machine. Souvent l’accès au Raspberry se fait à distance avec ssh, et justement pour des raisons de sécurité, le compte root est désactivé par défaut de la configuration ssh. De ce fait il faut une porte d’accès autre pour prendre la main en tant que root à partir d’un autre utilisateur et c’est là qu’intervient sudo. A mon avis, si le mot de passe du user est aussi complexe que le mot de passe root, je ne vois pas plus que ça la faille de sécurité.
Effectivement, c’est l’affectation au groupe sudo qui donne les droits root à un autilisateur, en complément il faut consulter le fichier /etc/sudoers. Il est effectivement possible de créer un compte utilisateur lambda que personne ne connait et qui appartient au groupe sudo. Ne connaissant pas son nom, il y a de ce fait peut de chance qu’un hacker se connecte à travers ce compte.
Il est effectivement possible de supprimer le compte pi. Par compte ce compte appartient à pas mal de groupes ce qui lui confère pas mal d’accès. Dans le cas de la création d’un utilisateur lambda autre, il faudra lui affecter à postériori les groupes nécessaires en fonction de ses usages requis.
A mon avis, il faut relativiser la sécurité, théorique et effective sur le PI. Quels sont réellement les risques si un hacker parvenait à se connecter? Quelles sont les données si sensibles? Comme toute machine le plus grand risque est l’accès physique au disque système donc l’accès à la carte SD dans notre cas. Si l’on veut faire réellement de la sécurité à son domicile, c’est aussi et surtout tout ce qu’il y a en amont et autour du PI qu’il faut sécuriser.
Merci pour les réponses très complètes… Le port SSH devra être ouvert vers l’extérieur si je veux pouvoir accéder à la machine à distance… Même si toute ouverture de port affaiblit la sécurité, certaines de ces ouvertures sont inévitables…
Pour les risques je suis assez intransigeant, d’une part car je tiens à bien faire les choses, d’autre part car à partir du moment ou l’on se sert du Pi pour faire un système de caméras de surveillance accessibles à distance, et éventuellement de la domestique etc… celui qui prendrait l’accès au Pi aurait de fait accès au système complet, connaissant dès lors les horaires de présence sur place par exemple, (ce qui faciliterait un éventuel cambriolage). L’intrus pourrait également passer au système des commandes qui ne sont pas voulues par les utilisateurs légitimes… Ça devient délicat…
Du coup je regarde pour configurer le firewall iptables, de façon à n’ouvrir que les ports nécessaires… J’ai sécurisé les mots de passe des différents comptes et je vais mettre un VPN dessus… A partir de là je pense que je commencerai à être bien… Il faudra un outil de monitoring du Pi lui-même aussi, qui m’alerte en cas de problème (saturation d’espace disque, du processeur, de la mémoire…)
PS: j’ai mis aussi un économiseur d’écran, après avoir constaté que la distribution Raspbian, une fois installée, ne proposait pas de verrouillage de l’écran en cas d’inactivité…
EDIT: Encore que l’accès distant puisse se faire avec VNC mais c’est moins sécurisé que le SSH si j’ai bonne mémoire…
A terme je souhaite faire un système de surveillance de mon domicile avec le Pi (Webcam + Micro, accessible à distance, détecteurs de fumée, de CO…)
Et je pense que vous mélanger la mise en place du système vs son utilisation.
au risque de vous saouler avec SSH on fait les installations la maintenant etc… et comme c’est chez toi ben pas de problème, y compris en WI-FI si tu ne veux pas tirer les rj45 partout.
Pour l’accès à distance une connexion https fait l’affaire. avec php tu verra les cameras, et pourra faire des petites maintenance, enfin que celle qu’il aura paramétré.
niveau sécurité c’est mieux car à distance on ne pourra rien faire d’autre que ce qu’on aura coder dans le serveur WEB. et avec HTTPS c’est top sécurité. même avec un certificat auto signé.
en plus tu pourrais mettre autant de raspi qui diffusent les caméras sur ton réseau local.
puis seulement un raspi qui agrège toute les caméra en un seul serveur. ce qui te fait qu’une sortie vers l’extérieur à vraiment bien sécurisé en https.
donc si tu prend disons 4 raspberry pi 0 W, il te suffit chez toi de trouver du courant dans les 4 pièces de ta maison, voir sur des batteries, les 4 raspi diffusent leur vidéo sur 127.0.0.10 à 14,
et tu prend un raspi de plus pour agréger les vidéo sur une petite application web.
l’avantage c’est que chaque raspi c’est une sorte de module indépendant qui sera simple a configurer. tu pourra mettre autant de caméra que tu veux.
avec SSH on fait les installations la maintenant etc… et comme c’est chez toi ben pas de problème, y compris en WI-FI si tu ne veux pas tirer les rj45 partout.