Usuario y contraseña en Raspbian: cuáles son por defecto y cómo cambiarlos para proteger nuestro Raspberry Pi

Usuario y contraseña en Raspbian: cuáles son por defecto y cómo cambiarlos para proteger nuestro Raspberry Pi

Rubén Velasco

Si hemos comprado un Raspberry Pi, lo primero que debemos hacer es preparar una tarjeta Micro-SD con un sistema operativo para poder utilizarlo. Actualmente existen varias distribuciones para utilizar en este micro-ordenador, algunas basadas en Android, otras diseñadas para convertirse en una retro-consola o un centro multimedia, otras para funcionar como un servidor, etc. De entre todas estas alternativas, la distro más conocida para el Raspberry Pi es Raspbian, el sistema operativo oficial del micro-ordenador que nos ofrece todo lo necesario para empezar a utilizarlo desde el primer encendido. Sin embargo, si somos nuevos dentro de este sistema seguramente podamos tener algunas dudas, como, por ejemplo, cuáles son el usuario y la contraseña por defecto.

Raspbian es una distribución basada en Debian optimizada y preparada para funcionar en el Raspberry Pi. Esta distribución viene totalmente funcional de base y permite a los usuarios instalar y utilizar todas las aplicaciones que quieran sin ninguna complicación. Para simplificar la instalación y la puesta en marcha de esta distro, esta viene ya preparada para grabar en una Micro-SD con una herramienta como Win32 Disk Imager. Esta distro viene también con un usuario y una contraseña configurados por defecto, credenciales que, si no los sabemos, seguramente podamos vernos muy limitados.

 

Usuario y contraseña por defecto de Raspbian

El usuario y la contraseña del Raspberry Pi nos permiten protegernos de las diferentes amenazas que pueden llegarnos a través de Internet y asegurarnos de que solo nosotros podemos conectarnos a él. Cuando grabamos por primera vez esta distro a un USB por defecto viene con un usuario y una contraseña configurados y necesarios para poder empezar a utilizarla. Estas credenciales son:

  • Usuario: pi
  • Contraseña: raspberry

Como podemos ver, estas credenciales no son nada del otro mundo, por lo que si alguien encuentra nuestro micro-ordenador conectado a la red serán los primeros que probarán para intentar conectarnos a él. Por ello, lo primero que debemos hacer nada más poner Raspbian en marcha es cambiar estas credenciales como os explicamos a continuación.

 

Cómo cambiar la contraseña de Raspbian

Para evitar que pongan en peligro nuestro Raspberry Pi debemos cambiar la contraseña. Una vez que tenemos nuestro Raspbian ya en funcionamiento, el siguiente paso será ejecutar el siguiente comando para cambiar la contraseña del usuario por defecto (que recordamos que es pi):

sudo passwd

Este comando nos pedirá la contraseña actual y, después, introducir la nueva contraseña que queremos dar al Raspberry Pi dos veces, para asegurarnos de que está bien escrita. Debemos asegurarnos de elegir una contraseña segura y robusta, ya que los ataques de fuerza bruta para intentar romper estas contraseñas a los dispositivos conectados a Internet están a la orden del día.

Una vez cambiada la contraseña, reiniciamos nuestro Raspberry Pi (aunque no es obligatorio) para ver cómo la pide el micro-ordenador cuando vayamos a intentar iniciar sesión. Cambiar así la contraseña implica tener el Raspberry Pi conectado con un teclado, un ratón y una pantalla para poder ver los comandos.

Nuestra recomendación es que este usuario «pi» lo deshabilites y te crees un nuevo usuario con su correspondiente perfil de usuario. De esta forma, un atacante también tendría que adivinar el nombre de usuario que hayas creado, y no solamente la contraseña. Para crear un nuevo usuario que se llame «redeszone», tendrás que ejecutar el siguiente comando:

sudo adduser redeszone

Ahora tendrás que seguir el asistente, ya que tienes que introducir la contraseña de este nuevo usuario y también otra información como el nombre completo, localización etc. Una vez que lo hayas hecho, es recomendable proporcionar a este usuario permisos de superusuario, por lo que lo añadiremos al grupo de «sudo»

sudo usermod -aG sudo redeszone

Ahora ya podremos deshabilitar el usuario de «pi» que viene por defecto, para ello, simplemente nos logueamos con el nuevo usuario:

su redeszone

Y ejecutamos la siguiente orden para bloquear el nuevo usuario:

sudo usermod -L pi

Ahora ya tendremos en nuestra Raspberry Pi el nuevo usuario «redeszone» con una contraseña personalizada, y el usuario «pi» completamente deshabilitado. En el caso de que quieras volver a habilitarlo, simplemente bastaría con forzarle el cambio de contraseña y automáticamente se reactivará.

Nuestra recomendación es que borres directamente el usuario «pi», porque ya tenemos un nuevo usuario con los permisos de superusuario al haberlo añadido al grupo de «sudo». De esta forma, el usuario pi no es necesario que lo tengamos, ni siquiera deshabilitado, porque simplemente no lo necesitamos utilizar nunca más. Ahora el acceso será a través del usuario «redeszone» que hemos creado anteriormente con permisos de superusuario, de esta forma, estaremos protegidos frente a posibles ataques que nos puedan realizar.

 

¿Realmente es necesario hacer este cambio?

Independientemente de si abres puertos en el router para acceder a diferentes servicios de tu Raspberry Pi, como si la usas solamente en local, siempre es necesario que cambies la contraseña de usuario administrador, aunque solamente lo vayas a usar en tu red local. Hay que tener en cuenta que, cualquier usuario que pudiera tener acceso a tu red local, si hace un escaneo de puertos podrá detectar que hay una Raspberry en la red, y lo primero que hará es probar la combinación de usuario y clave predeterminada. Por este motivo, se hace casi obligatorio que cambies las credenciales.

Además, en el caso de que vayas a usar el protocolo SSH para conectarte de forma local o remota y proceder con la administración del equipo, es necesario tomar precauciones adicionales como cambiar el puerto del SSH, habilitar el inicio de sesión solamente con claves SSH para tener la mejor seguridad posible, así como habilitar diferentes opciones para mitigar los intentos de inicio de sesión maliciosos. Nuestra recomendación es que nunca abras un puerto en el router que hace NAT hacia la Raspberry Pi, excepto si vas a montar un servidor VPN para acceder de forma remota a la red local doméstica, pero nunca abras el puerto del protocolo SSH, sobre todo si usas el puerto predeterminado porque lo atacarán, y podrían llegar a hackearte la Raspberry Pi si no tienes implementadas las medidas necesarias.

Es muy importante que siempre cambiemos las credenciales predeterminadas, tanto el nombre de usuario como también la contraseña. Existen ataques por fuerza bruta o diccionario que probarán un único nombre de usuario (pi) y múltiples contraseñas, con el objetivo de intentar crackear este acceso. Si cambiamos el nombre de usuario, también habría que probar qué nombre de usuario hemos introducido, por lo que se hace muy complicado o casi imposible adivinar la pareja de usuario y contraseña. Por este motivo es tan importante cambiar el nombre de usuario predeterminado. Si no quieres cambiar el nombre de la ruta del directorio home, no es necesario hacerlo, pero sí os recomendamos renombrarlo para que no tengamos ningún problema si nos confundimos.

 

Conclusiones

Hay que tener en cuenta que, una Raspberry Pi mal protegida, podría ser la puerta de entrada a nuestra red local doméstica, lo que supone un grave riesgo de seguridad para nuestro PC y el resto de dispositivos que tengamos conectados en la red local. Es muy importante que cambies la contraseña predeterminada para evitar posibles ataques, no obstante, es complicado que en la red local doméstica se nos «cuele» alguien, aunque no está de más proteger correctamente la Raspberry Pi para dificultar a un posible ciberdelincuente que se haga con el control total del dispositivo.

Por supuesto, nunca deberías abrir puertos en tu router hacia la dirección IP de tu dispositivo, a no ser que tengas instalado un servidor VPN como OpenVPN o WireGuard para acceder remotamente a la red local doméstica, y así es como si te conectaras localmente para compartir archivos y carpetas. En protocolo SSH solamente deberías usarlo de forma local, y nunca deberías exponerlo a Internet sin antes tomar las medidas adecuadas, como cambiar el puerto por defecto, activar las claves SSH en lugar de autenticarnos a través de usuario y contraseña, y también añadir un segundo factor de autenticación etc.

2 Comentarios