Editorial 07-08/2022

Nur zu gern machen wir Hacker und Bastler Witze über Nutzer, die Passwörter wie passwort oder 12345 verwenden. Trotzdem hängen wir RasPis mit immer denselben Zugangsdaten ins Netz. Damit macht das aktuelle Update von Raspberry Pi OS Schluss.

Sehr geehrte Leserinnen und Leser,

gern rühmen wir “Computerspezialisten” uns für unser Verständnis rund um die Sicherheit von Computern und Netzwerken. Wir amüsieren uns über Nutzer, die passwort oder 12345 als Passwort verwenden und Anwender, die netzwerkfähige Geräte wie Multifunktionsdrucker oder Sicherheitskameras mit unveränderter Standardkonfiguration oder nur mit schwachen Passwörtern versehen ungeschützt ins Netz hängen. So erlangten Angreifer etwa Zugang zu Nutzern der Kameras des Amazon-Ablegers Ring: Die Kriminellen missbrauchten die in die Kameras integrierten Lautsprecher dann für Erpressungen, rassistische Beleidigungen und belästigten sogar Kinder [1].

In diesem Fall waren wohl selbst gewählte, schwache oder mehrfach genutzte Passwörter im Webportal des Anbieters dafür verantwortlich, dass die Angreifer so einfach in die Privatsphäre zahlreicher Nutzer eindringen konnten. Als Entwickler und verantwortungsbewusste Hacker müssen wir uns allerdings fragen, ob der Fehler hier wirklich beim Anwender liegt. Oft genug liefern die Hersteller von Hard- und Software selbst Produkte mit standardisierten Zugangsdaten aus. Bei den meisten Netgear-Routern lautet der Login admin/password [2], und bei den Druckerherstellern variieren die Zugangsdaten zwischen admin, Admin oder ADMIN mit 1111, 123456 oder admin oder gleich einem leeren Feld als Passwort [3].

Aus der japanischen Autoindustrie kommt der Begriff Poka Yoke: Systeme müssen so gestaltet sein, dass unbeabsichtigte Fehler ausgeschlossen werden. TAE-Telefonstecker lassen sich daher nicht verkehrt herum einstecken. Geldautomaten geben das Geld erst frei, wenn der Bediener seine EC-Karte aus dem Kartenslot gezogen hat. Und der Kassierer im Supermarkt muss die oberhalb der Rollen angebrachte Einkaufswagennummer in das System eingeben, damit er gezwungen ist, auf die untere Ablage des Einkaufswagens zu achten [4]. Diese fest in das System eingebaute Sicherheit fordert seit 2020 ein Gesetz in Kalifornien ein. Jedes direkt oder indirekt mit dem Internet verbundene Gerät, muss Sicherheitsfunktionen aufweisen, die einen unzulässigen Zugriff von außen verhindern [5]. Auch in Großbritannien wurde ein ähnliches Gesetz verabschiedet.

Nun sickert es langsam auch in der Open-Source-Welt durch, dass standardisierte Logins und Passwörter keine gute Idee sind. Besonders bei SBCs wie dem RasPi wird in der Regel mit Betriebssystem-Images gearbeitet. Das Problem: Hier waren lange Zeit Login und Passwort vorkonfiguriert. Der Nutzer muss aktiv einen neuen Nutzer anlegen und den alten löschen, Einsteiger sind damit immer wieder überfordert. Das Ergebnis: Oft genug wird dieser wichtige Schritt ignoriert. Kein Wunder, dass Angreifer mit Kennwörtern wie raspberry, openelec oder pfsense auf das System zu kommen versuchen, wie der Github-Nutzer bgulla mit seinem SSH-Honeypot ermittelt hat [6]. 2019 registrierte Saverio Weller im Rahmen seiner Bachelor-Arbeit im Minimum 3400 solcher Wörterbuchattacken pro Tag [7]. Ein schneller Test mit dem Open-Source-Tool SSH Honeypot [8] bestätigte diese Zahl an einem Glasfaserzugang über die Deutsche Telekom.

Nachdem Raspberry Pi OS schon seit 2016 den User beim ersten Booten auffordert, ein neues Passwort zu setzen, geht es mit dem jüngsten Update des Standardsystems nun endlich auch dem Benutzernamen pi an den Kragen. Beim ersten Start des Systems müssen Sie jetzt beim Durcharbeiten des Einrichtungsassistenten nicht mehr nur ein Passwort setzen, sondern auch einen Namen für das spätere Nutzerkonto eingeben [9]. Das gilt sowohl beim Desktop-Image wie auch bei der Lite-Version. Die hohe Erfolgschance bei massenhaften SSH-Angriffen mit pi/raspberry gehört damit der Vergangenheit an, zumindest bei neuen Pi-OS-Installationen. Achten Sie bitte aber weiterhin auf sichere Logins und Passwörter – viele RasPi-Distributionen arbeiten noch mit vordefinierten Zugangsdaten.

Herzliche Grüße,

Christoph Langner

Redakteur