Usuario y contraseña en Raspbian: cuáles son por defecto y cómo cambiarlos para proteger nuestro Raspberry Pi

Raspbian es una distribución basada en Debian optimizada y preparada para funcionar en el Raspberry Pi. Esta distribución viene totalmente funcional de base y permite a los usuarios instalar y utilizar todas las aplicaciones que quieran sin ninguna complicación. Para simplificar la instalación y la puesta en marcha de esta distro, esta viene ya preparada para grabar en una Micro-SD con una herramienta como Win32 Disk Imager. Esta distro viene también con un usuario y una contraseña configurados por defecto, credenciales que, si no los sabemos, seguramente podamos vernos muy limitados.

Usuario y contraseña por defecto de Raspbian

El usuario y la contraseña del Raspberry Pi nos permiten protegernos de las diferentes amenazas que pueden llegarnos a través de Internet y asegurarnos de que solo nosotros podemos conectarnos a él. Cuando grabamos por primera vez esta distro a un USB por defecto viene con un usuario y una contraseña configurados y necesarios para poder empezar a utilizarla. Estas credenciales son:

• Usuario: pi
• Contraseña: raspberry

Como podemos ver, estas credenciales no son nada del otro mundo, por lo que si alguien encuentra nuestro micro-ordenador conectado a la red serán los primeros que probarán para intentar conectarnos a él. Por ello, lo primero que debemos hacer nada más poner Raspbian en marcha es cambiar estas credenciales como os explicamos a continuación.

Cómo cambiar la contraseña de Raspbian

Para evitar que pongan en peligro nuestro Raspberry Pi debemos cambiar la contraseña. Una vez que tenemos nuestro Raspbian ya en funcionamiento, el siguiente paso será ejecutar el siguiente comando para cambiar la contraseña del usuario por defecto (que recordamos que es pi):

Este comando nos pedirá la contraseña actual y, después, introducir la nueva contraseña que queremos dar al Raspberry Pi dos veces, para asegurarnos de que está bien escrita. Debemos asegurarnos de elegir una contraseña segura y robusta, ya que los ataques de fuerza bruta para intentar romper estas contraseñas a los dispositivos conectados a Internet están a la orden del día.

Una vez cambiada la contraseña, reiniciamos nuestro Raspberry Pi (aunque no es obligatorio) para ver cómo la pide el micro-ordenador cuando vayamos a intentar iniciar sesión. Cambiar así la contraseña implica tener el Raspberry Pi conectado con un teclado, un ratón y una pantalla para poder ver los comandos. Nuestra recomendación es que este usuario «pi» lo deshabilites y te crees un nuevo usuario con su correspondiente perfil de usuario. De esta forma, un atacante también tendría que adivinar el nombre de usuario que hayas creado, y no solamente la contraseña. Para crear un nuevo usuario que se llame «redeszone», tendrás que ejecutar el siguiente comando:

Ahora tendrás que seguir el asistente, ya que tienes que introducir la contraseña de este nuevo usuario y también otra información como el nombre completo, localización etc. Una vez que lo hayas hecho, es recomendable proporcionar a este usuario permisos de superusuario, por lo que lo añadiremos al grupo de «sudo»

Ahora ya podremos deshabilitar el usuario de «pi» que viene por defecto, para ello, simplemente nos logueamos con el nuevo usuario:

Y ejecutamos la siguiente orden para bloquear el nuevo usuario:

Ahora ya tendremos en nuestra Raspberry Pi el nuevo usuario «redeszone» con una contraseña personalizada, y el usuario «pi» completamente deshabilitado. En el caso de que quieras volver a habilitarlo, simplemente bastaría con forzarle el cambio de contraseña y automáticamente se reactivará.

Nuestra recomendación es que borres directamente el usuario «pi», porque ya tenemos un nuevo usuario con los permisos de superusuario al haberlo añadido al grupo de «sudo». De esta forma, el usuario pi no es necesario que lo tengamos, ni siquiera deshabilitado, porque simplemente no lo necesitamos utilizar nunca más. Ahora el acceso será a través del usuario «redeszone» que hemos creado anteriormente con permisos de superusuario, de esta forma, estaremos protegidos frente a posibles ataques que nos puedan realizar.

A la hora de crear contraseñas para un dispositivo tan importante como una Raspberry Pi, debes seguir los siguientes consejos para crear una clave robusta y que resista frente a posibles ataques de fuerza bruta:

• La clave debe ser como mínimo de 12 caracteres, para hacer frente a los ataques de fuerza bruta.
• Debe tener tanto mayúsculas, minúsculas como números. Esto permite mitigar ciertos ataques de diccionario, y también dificulta enormemente que se ataque a través de fuerza bruta.
• Es deseable que tenga también símbolos, para que sea aún más robusta.

Por supuesto, es totalmente necesario que no uses esta contraseña para ningún servicio online, ni tampoco para ningún servicio de la propia Raspberry, a no ser que se autentique a través de PAM como el SSH y servicios como FTP. Además, sería deseable incorporar un segundo factor de autenticación, aunque esta configuración es algo compleja, podríamos instalar este segundo factor de autenticación con el objetivo de reforzar más las autenticaciones en PAM de estos servicios que os comentamos, aunque deben ser compatibles. En RedesZone tenemos un completo tutorial paso a paso de cómo proteger con la máxima seguridad el protocolo SSH, y es que es fundamental si lo vas a tener expuesto a Internet, para evitar posibles problemas de seguridad.

¿Realmente es necesario hacer este cambio?

Independientemente de si abres puertos en el router para acceder a diferentes servicios de tu Raspberry Pi, como si la usas solamente en local, siempre es necesario que cambies la contraseña de usuario administrador, aunque solamente lo vayas a usar en tu red local. Hay que tener en cuenta que, cualquier usuario que pudiera tener acceso a tu red local, si hace un escaneo de puertos podrá detectar que hay una Raspberry en la red, y lo primero que hará es probar la combinación de usuario y clave predeterminada. Por este motivo, se hace casi obligatorio que cambies las credenciales.

Además, en el caso de que vayas a usar el protocolo SSH para conectarte de forma local o remota y proceder con la administración del equipo, es necesario tomar precauciones adicionales como cambiar el puerto del SSH, habilitar el inicio de sesión solamente con claves SSH para tener la mejor seguridad posible, así como habilitar diferentes opciones para mitigar los intentos de inicio de sesión maliciosos. Nuestra recomendación es que nunca abras un puerto en el router que hace NAT hacia la Raspberry Pi, excepto si vas a montar un servidor VPN para acceder de forma remota a la red local doméstica, pero nunca abras el puerto del protocolo SSH, sobre todo si usas el puerto predeterminado porque lo atacarán, y podrían llegar a hackearte la Raspberry Pi si no tienes implementadas las medidas necesarias.

Es muy importante que siempre cambiemos las credenciales predeterminadas, tanto el nombre de usuario como también la contraseña. Existen ataques por fuerza bruta o diccionario que probarán un único nombre de usuario (pi) y múltiples contraseñas, con el objetivo de intentar crackear este acceso. Si cambiamos el nombre de usuario, también habría que probar qué nombre de usuario hemos introducido, por lo que se hace muy complicado o casi imposible adivinar la pareja de usuario y contraseña. Por este motivo es tan importante cambiar el nombre de usuario predeterminado. Si no quieres cambiar el nombre de la ruta del directorio home, no es necesario hacerlo, pero sí os recomendamos renombrarlo para que no tengamos ningún problema si nos confundimos.

Conclusiones

Hay que tener en cuenta que, una Raspberry Pi mal protegida, podría ser la puerta de entrada a nuestra red local doméstica, lo que supone un grave riesgo de seguridad para nuestro PC y el resto de dispositivos que tengamos conectados en la red local. Es muy importante que cambies la contraseña predeterminada para evitar posibles ataques, no obstante, es complicado que en la red local doméstica se nos «cuele» alguien, aunque no está de más proteger correctamente la Raspberry Pi para dificultar a un posible ciberdelincuente que se haga con el control total del dispositivo.

Por supuesto, nunca deberías abrir puertos en tu router hacia la dirección IP de tu dispositivo, a no ser que tengas instalado un servidor VPN como OpenVPN o WireGuard para acceder remotamente a la red local doméstica, y así es como si te conectaras localmente para compartir archivos y carpetas. En protocolo SSH solamente deberías usarlo de forma local, y nunca deberías exponerlo a Internet sin antes tomar las medidas adecuadas, como cambiar el puerto por defecto, activar las claves SSH en lugar de autenticarnos a través de usuario y contraseña, y también añadir un segundo factor de autenticación etc.