Raspberry Pi veiliger maken: tips voor de beveiliging

Wie een Raspberry Pi als mini server inzet voor zijn familie of smart home, moet dezelfde beveiligingsmaatregelen nemen als bij een grote server. Zeker als hij verbonden is met internet en van daaraf benaderd kan worden, moet je de Raspberry Pi veiliger maken en risico’s proberen te beperken.

Ga aan de slag met de volgende tips om je Raspberry Pi beter te beveiligen.

Een net geinstalleerd Raspbian maakt een gebruiker met de naam ‘pi’ aan en het wachtwoord ‘raspberry’. Die combinatie is ondertussen net zo bekend als ‘admin / admin’ en moet je zo snel mogelijk wijzigen als de Pi met een netwerk wordt verbonden. Typ in een terminal-venster de opdracht passwd om een nieuw wachtwoord op te geven. Dat is ook verstandig als een Pi alleen via het lokale netwerk toegankelijk is.

Als je vanaf internet via SSH verbinding maakt met de server, moet je zeker een goed wachtwoord kiezen. Kijk daarvoor bijvoorbeeld naar de nieuwe richtlijnen voor wachtwoorden.

Regelmatige updates horen bij het onderhouden van een server. De ontwikkelaars van de Linux-kernel en van de diverse distributies werken voortdurend aan het beter maken van het systeem en het dichten van gevonden veiligheidsgaten. Als beheerder moet je ervoor zorgen dat je die ook installeert. Handmatig de updates installeren kan met de volgende opdrachten:

sudo apt update
sudo apt dist-upgrade

Als je wilt dat updates automatisch geïnstalleerd worden, kun je het pakket unattended-upgrades installeren:

sudo apt install unattended-upgrades

Om dit in te stellen, start je de bijbehorende configuratiewizard met de volgende opdracht:

dpkg-reconfigure –priority=low unattended-upgrades

Het complete besturingssysteem, alle configuratiebestanden en alle gegevens die tijdens het gebruik worden opgeslagen komen bij de Raspberri Pi op een SD-kaart terecht. Als het niet alleen om een tijdelijk knutselproject gaat, moet je na de installatie een oplossing bedenken voor het geval dat de geheugenkaart het begeeft. De kans daarop is helaas groter dan je denkt, en het handmatig instellen van allerlei back-upsoftware is vrij lastig.

Maak bijvoorbeeld met de Windows-tool “Win32 Disk Image” een back-up van de complete SD-kaart op je pc en houd een kopie hiervan in reserve. Als er op de Pi nieuwe data worden geschreven, moeten die met vaste regelmaat of liever nog meteen worden gesynchroniseerd met een andere computer. Dat kan met een tool zoals rsync, die bestanden meteen spiegelt naar een andere pc. Je kunt ook een script gebruiken dat regelmatig back-ups maakt naar een netwerklocatie. Als doellocatie kun je een NAS of een andere computer gebruiken.

Je moet in ieder geval het project ook goed documenteren en dit bijwerken. Als er maanden later een probleem optreedt, weet je anders niet meer welke configuratiebestanden je hebt moeten aanpassen. Op dat moment zul je dankbaar zijn voor elke notitie.

Op Internet vind je allerlei tips en instructies voor de Raspberry Pi. Helaas zitten daar wel eens foutjes in. Als Linux-leek ben je misschien geneigd om elk commando klakkeloos te kopiëren en met sudo uit te voeren. Maar als je niet weet wat een opdracht doet en die van een onbekende bron haalt, is het verstandig even naar de opdracht te zoeken op internet. Zo kun je nagaan of hij wel doet wat je wilt of kun je misschien tikfouten eruit halen. Bij opdrachten als wget of curl, die data laden van internet, moet je goed bedenken of je de bron wel vertrouwt.

Als de Pi in een thuisnetwerk hangt en vanaf internet bereikbaar moet zijn, kun je in je router een port-forward instellen. Je kunt bijvoorbeeld requests op poort 80 naar een webserver doorsturen op de Pi voor een Nextcloud- of WordPress-installatie. Maar dat is alleen aan te raden voor gevorderden en regelmatig updaten is dan nog belangrijker.

Andersom kun je een VPN gebruiken om vanaf de Pi verbinding met internet te maken. Hiervoor kun je soms instructies of een script of tool van de VPN-aanbieder gebruiken. Verkeer via de VPN is versleuteld en kan niet door je internetprovider bekeken worden. Dat is ook handig als je online diensten wilt benaderen alsof je vanuit een ander land komt of wilt downloaden zonder beperkingen.