Raspberry Pi OS Bullseye'ya bir güncelleme, varsayılan 'PI' kullanıcısını, saldırganların, varsayılan kimlik bilgilerini kullanarak internet açığa çıkan ahududu PI cihazlarını bulmalarını ve tehlikeye atmalarını zorlaştırmak için kaldırdı.
Bu son sürümden başlayarak, işletim sistemi kurarken önce bir kullanıcı adı ve şifre seçerek bir hesap oluşturmanız istenecektir (bu değişiklikten önce, işletim sistemi yükleyicisi yalnızca özel bir şifre isteyecektir).
Artık bu adımı atlamayabilirsiniz. Kurulum sihirbazı, cihazı ilk önyükleme yaparken başlatılacağından (önceden, varsayılan PI / Raspberry kimlik bilgilerini kullanmak için İptal'e basabilirsiniz).
Hala bir 'Pi' kullanıcı adı ve 'ahududu' şifreniz olarak kullanmayı seçebilirken, akıllıca bir seçim olmadığı konusunda uyarılacaksınız.
"Mevcut kurulumlarda 'Pi' kullanıcısından kurtulmayacağız. Pi.
"Yaptığımız her şey, temerrüt bir 'PI' kullanıcısına sahip olmamak için güvenliği umursayan insanlar için kolaylaştırıyor - ki bu, insanların bir süredir bir süredir isteyen bir şeydir."
Görüntüyü ilk kez önyükleme yaparken, Ahududu Pi OS Lite Image kullanıcılarının komut satırı metin istemleri aracılığıyla yeni bir hesap oluşturmaları istenecektir.
Ahududu Pi'yi başsız çalıştırmak istiyorsanız, görüntüyü yazmadan önce veya bir kullanıcı adı içeren önyükleme bölümüne bir UserConf dosyası ekleyerek, bir kullanıcı adı ve bir şifre ayarlayarak kullanıcı adını ve bir şifre ayarlayarak kullanıcıyı oluşturabilirsiniz. çift.
Mevcut kurulumlar bu değişiklikten etkilenmez. Ancak, kullanıcılar hala mevcut görüntülerini güncelleyerek ve sudo yeniden adlandırıcı kullanıcı komutunu çalıştırarak varsayılan olmayan kimlik bilgilerine geçebilirler.
"Bu, bu kadar zayıflık değil - sadece geçerli bir kullanıcı adını bilmek, birisi sisteminize göre kesmek istiyorsa, gerçekten parolanızı bilmek zorunda kalacaklar; İlk etapta uzaktan erişim şekli, "uzun zaman açıklandı.
"Ama yine de, potansiyel olarak kaba kuvvetli bir saldırıyı biraz daha kolay hale getirebilir ve buna cevaben, bazı ülkeler artık herhangi bir İnternet bağlantılı cihazın varsayılan oturum açma kimlik bilgilerini vermesini yasaklamak için mevzuat getiriyor."
Örneğin, İngiltere, IOT cihazlarının artık varsayılan kullanıcı adları ve şifrelerle gelmemesini isteyen yeni düzenlemeleri zorlamak istiyor, bunun yerine müşterilerin özel kimlik bilgilerini seçmelerini istedi, "herhangi bir evrensel fabrika varsayılan değerine sıfırlanamaz."
Android'in Mart 2022 güvenlik güncellemeleri üç kritik hatayı düzelt
Google, Android Güvenliğini Yeni DEV Politika Değişiklikleri Seti ile Artırdı
CISA, saldırılarda sömürülen böcekler listesine 66 güvenlik açığı ekler
2021 Mobil Güvenlik: Android daha fazla güvenlik açıklığı, iOS daha sıfır gün
Kritik WordPress eklentisinin yaklaşık% 30'u bir yama alamaz
Kaynak: Bleeping Computer