Proteggi il Raspberry Pi dagli hacker

Ogni giorno milioni di dispositivi vengono bombardati da attacchi informatici automatizzati, che scansionano la rete alla ricerca di ogni singola falla di sicurezza. Non solo i PC, quindi, ma i dispositivi coinvolti vanno dal Raspberry Pi, ai router, passando per i prodotti di automazione domestica (compresi i termostati intelligenti, le telecamere di sicurezza, i frigoriferi, i forni a microonde), ai dispositivi di home entertainment come televisori e console di giochi, agli scaffali intelligenti che segnalano quando hanno bisogno di rifornimento, ai macchinari industriali.

La parte più importante per tutelarsi da questi attacchi è sempre la prevenzione, in questa guida spiegheremo passo per passo le tecniche base da utilizzare appena installato il sistema operativo nel nostro Raspberry Pi, in questo caso sarà Raspbian Jessie visto che è il più supportato e diffuso su Raspberry Pi.

Tecniche malware

Gli attacchi informatici spesso sfruttano una botnet (insieme di computer infetti) per scansionare tutti gli apparecchi esposti ad internet, alla ricerca di porte standard aperte, come ad esempio la 22 per l’SSH o la 80 per http e in caso positivo, poi tentare tutte le combinazioni di password e nomi utenti standard, per Raspbian sarà utente: pi password: raspberry, per i router o telecamere di sicurezza utente: admin password: admin.
Una volta entrati nel sistema, lo infettano, unendolo alla botnet, che all’occorrenza può anche essere usata per bloccare siti internet tramite attacchi DDOS chiedendo poi il riscatto, come nel caso dell’attacco “Mirai”.
Altrimenti come Linux.MulDrop.14 , vengono usati i Raspberry Pi per minare monete virtuali sfruttando lil lavoro della CPU, anche se una chiavetta ASIC USB farebbe guadagnare molto di più di un semplice Raspberry Pi.

Aggiornamenti

La prima cosa in assoluto da fare è sempre installare gli aggiornamenti del sistema operativo e dei software.
Essi sono in grado di riparare le falle di sicurezza scoperte e corrette fino a quel momento, un esempio è la falla nel protocollo Samba, che ha infettato 100.000 macchine linux poco tempo fà.

Partiamo con il comando

che ci permetterà, per tutta la guida, di eseguire comandi con privilegi di root, necessari per queste operazioni.

Iniziamo con aggiornare la lista dei pacchetti di apt

Successivamente aggiorniamo tutti i software installati con il comando

Aggiornamenti automatici

Non possiamo controllare ogni giorno se Raspberry Pi ha l’ultima patch installata, quindi installiamo un software che lo faccia per noi tramite

modifichiamo i vari parametri con

controllare che ci sia

interessante la voce di riavvio automatico con orario prestabilito.

Hostname ed utenti

Ogni Raspbian inizialmente ha questi dati

• hostname : rasberrypi
• utente        : pi
• password  : raspberry

ed è importante sostituirli in modo da bloccare più attacchi possibili.

Entriamo nell’interfaccia di configurazione di Raspbian

selezioniamo hostname e cambiamo il nome con quello che preferiamo, non serve che sia complicato, solo diverso.
Successivamente entriamo in Boot Option, Desktop / Cli e selezioniamo una voce senza l’autologin.
Finiamo eliminando l’utente pi e creandone uno nuovo, che sia compreso nel gruppo sudo

successivamente assegnamogli una password complessa

ecco i consigli di un hacker per una password sicura 

Ed ora eliminiamo la falla più grossa, l’utente e password di default con il prossimo comando, ma attenzione valutate se cancellarne anche la home col parametro -remove-home

Attualmente se scrivete sudo [comando] non vi viene richiesta la password di root, ed è un male, dal punto di vista della sicurezza. Noi vogliamo che ci venga richiesta
spostiamo o cancelliamo il file

facciamo una semplice prova

dovrebbe comparire un avviso e la richiesta di password.
Ottimo, ora va cambiata anche la password di root con

Firewall e controllo accessi

In ogni rete e computer è sempre bene avere attivo un firewall in grado di filtrare e controllare tutto il traffico in entrata ed uscita, sul raspberry si può installare ed usare UFW (Uncomplicated firewall) in grado di gestire le iptables in modo veramente semplice.

Installiamolo con

Le regole di default consentono tutte le connessioni in uscita, ma bloccano qualsiasi connessione in entrata.
Apriamo e filtriamo solo le porte che ci servono, di solito può servire la porta SSH nel caso ci serva connetterci da remoto o non venga usato il monitor

oppure col numero della porta

Ora possiamo abilitare UFW

poi, molto importante: limitiamo gli accessi con il comando

cosi che le prime sei connessioni verranno effettuate senza problemi, ma l’attaccante vedrà negate tutte quelle successive. Verifichiamo che sia configurato correttamente

e nel caso dovessimo cancellare una regola sarà sufficente digitare

Dopo aver applicato nuove regole al firewall va riavviato

Per ulteriori informazioni rimando al manuale

Un’ accortezza importante sarebbe quella di cambiare le porte di default di alcuni servizi, ad esempio il server SSH

Cambiando dalla bersagliata porta 22 a una porta con un numero a caso magari intorno al 10000

in questo attenzione che le regole UFW vanno impostato con il numero della porta e non il nome.

Una protezione aggiuntiva sarebbe avere, a monte del router, un firewall di rete, ma per CPU ARM ormai non se ne trovano molti, forse in una futura guida ne parleremo.

Analisi di sicurezza

Una volta completate le varie protezioni iniziali, passiamo all’analisi dei sicurezza tramite il software Lynis  che grazie alla sua versione gratuita ci da un’ idea di cosa si potrebbe ancora proteggere.

Installazione Lynis

Procediamo attivando la chiave software

abilitiamo l’https per apt

aggiungiamo

dove al posto di CODENAME andrà messo il nome della versione, attualmente jessie.

Rimando al sito ufficiale per tutte le distro supportate
Ed ora, finalmente, possiamo installarlo

ed avviarlo

Lynis farà un resoconto di tutte le debolezze del nostro sistema e le salverà in un log, in /var/log/lynis.log

Antimalware

Concludiamo con i più famosi tools per la scansione dei malware attivi nel sistema, rkhunter e chkrootkit.
Procediamo con l’installazione di rkhunter

Aggiorniamolo all’ultima versione

ed eseguiamo la scansione automatica

alla fine verrà visualizzato il verdetto

Il secondo tool che si usa in tandem con rkhunter è chkrootkit
installazione

ed esecuzione tramite

Ottimo, direi che per iniziare avete già fatto dei buoni progressi per mettere in sicurezza il vostro Raspberry Pi, anche se le tecniche di attacco e le vulnerabilità, ci saranno sempre.

Se infine volete cimentarvi nei penetration test contro i vostri apparecchi, installate Kali Linux sul vostro Raspberry Pi e poi studiate la documentazione .

Se vuoi restare aggiornato seguici sui nostri social: Facebook , Twitter, YouTube, Google+, Telegram

Riferimenti utili

Siti online per la scansione del proprio webserver
Attacco Mirai
Linux.MulDrop.14