Créer un compte utilisateur et un mot de passe par défaut pour le Raspberry Pi.

En avril 2022 la fondation Raspberry Pi a annoncé que pour des raisons de sécurité, le compte utilisateur pi et le mot de passe raspberry qui étaient jusqu’à présent définis par défaut lors de l’installation d’un Raspberry Pi avec Raspberry Pi OS seraient désormais désactivés.

Si la présence d’un compte par défaut était effectivement discutable du point de vue de la sécurité, car ouvrant la voie à des attaques automatisées visant les équipements mal configurés, cela était en revanche bien pratique pour les utilisateurs. Dans ce tutoriel nous allons donc voir comment définir un utilisateur et un mot de passe pour le Raspberry Pi, d’abord lors de l’installation de Raspberry Pi OS sur la carte SD, puis après l’installation de Raspberry Pi OS, si vous avez oublié de définir le mot de passe lors de la création de la carte SD.

Pour ce tutoriel vous aurez uniquement besoin :

• d’un Raspberry Pi, peut importe sa version
• de sa carte SD
• éventuellement d’un lecteur de carte SD si votre PC n’en est pas équipé nativement

Définir le mot de passe utilisateur au moment d’installer Raspberry Pi OS

Dans un premier temps, nous allons voir comment définir le mot de passe de l’utilisateur lors de l’installation de Raspberry Pi OS (anciennement Raspbian) sur la carte SD.

Pour installer notre OS sur la carte SD, nous allons utiliser le logiciel Raspberry Pi Imager, auquel nous avons déjà consacré un article.

Vous pouvez donc insérer votre carte SD dans votre ordinateur, lancer le logiciel Raspberry Pi Imager, et cliquer le bouton pour choisir l’OS de votre choix, dans le cas présent Raspberry Pi OS. Une fois que vous avez choisi l’OS, vous pouvez voir qu’un bouton avec une icône d’engrenage apparaît en bas à droite du logiciel.

En cliquant sur cette icône vous pourrez alors accéder à la fenêtre des options avancées, laquelle vous permettra de choisir d’activer ou non un serveur SSH, de configurer un réseau Wi-Fi, mais surtout, et c’est ce qui nous intéresse, de créer un compte utilisateur et un mot de passe par défaut.

Cochez donc la case « Set username and password », et rentrez le nom utilisateur et le mot de passe de votre choix dans les champs « Username » et « Password ». Dans mon cas j’utilise généralement le compte pi et le mot de passe raspberry, par habitude, mais vous pouvez tout à fait utiliser le mot de passe de votre choix.

Petit point à considérer tout de même, si vous n’utilisez pas un clavier QWERTY, n’oubliez pas qu’il est possible lors de votre première connexion que le clavier du Pi ne soit pas dans votre langue habituelle, essayez donc, au moins pour la première installation, d’éviter les accents et autres caractères spéciaux ou régionaux…

Après cela, il ne vous reste plus qu’à cliquer sur le bouton de sauvegarde en bas des paramètres avancés, choisir la carte SD sur laquelle installer l’OS, et lancer l’écriture sur la carte.

Une fois l’écriture terminée, retirez la carte, insérez la dans le Raspberry Pi, branchez-le, et attendez jusqu’à la fin de l’installation, et voilà, votre compte utilisateur est prêt !

Comment créer un compte utilisateur après la création de la carte SD et sans interface graphique !

Il arrive souvent que l’on oublie de créer le compte utilisateur lors de la création de la carte SD, que ce soit par méconnaissance ou par simple distraction. Heureusement, il est toujours possible de définir un compte utilisateur et un mot de passe par défaut après la création de la carte SD, et ce sans avoir besoin d’interface graphique ou de clavier à connecter au Raspberry Pi.

Attention néanmoins, la création d’un utilisateur via cette méthode n’est possible que jusqu’à ce que le compte par défaut ait été créé. Une fois le compte par défaut créé vous devrez impérativement passer par celui-ci et utiliser la commande rename-user.

Pour définir le compte utilisateur par défaut, il vous suffit, en fait, de créer un fichier qui contiendra le nom de l’utilisateur à créer, ainsi que le hash de son mot de passe, séparés par deux point.

La notion de hash correspond à l’idée de prendre des données en entrée d’un algorithme, par exemple un mot de passe, et de générer en sortie une chaîne de caractères d’une longueur fixe, et qui, idéalement, aura les trois caractéristiques suivantes :

• Être toujours la même pour deux entrées similaires
• Être toujours différente pour deux entrées différentes
• Ne pas permettre de retrouver les données d’entrée

Grâce à ces caractéristiques, il est possible de stocker une forme dérivée d’un mot de passe, qui pourra par la suite être comparée à un mot de passe entré, mais qui ne permettra pas à un attaquant qui réussirait à accéder aux données stockées de retrouver le mot de passe original.

Si la notion de hash vous intéresse, vous trouverez plus d’informations sur la page wikipedia dédiée.

Il existe de très nombreuses fonctions de hachage, mais dans notre cas nous allons devoir hacher notre mot de passe dans un format qui corresponde à celui du fichier /etc/shadow, lequel contient la liste des mots de passe utilisateurs dans les systèmes Linux.

Pour cela, vous pouvez utiliser directement la ligne de commande mkpasswd sous Linux, mais le plus simple sera probablement d’utiliser un outil en ligne comme mkpasswd.net en choisissant comme type de hash crypt-sha512.

Il ne vous reste alors plus qu’à créer un fichier nommé userconf.txt dans la partition boot de la carte SD du Raspberry Pi, et d’y écrire <username>:<hashed_password>, ou <username> sera le nom de l’utilisateur, et <hashed_password> le hash de son mot de passe, tel que obtenu via mkpasswd.

À titre d’exemple, voilà ce que cela donne pour créer un utilisateur pi avec le mot de passe raspberry :

pi:$6$c70VpvPsVNCG0YR5$l5vWWLsLko9Kj65gcQ8qvMkuOoRkEagI90qi3F/Y7rm8eNYZHW8CY6BOIKwMH7a3YYzZYL90zf304cAHLFaZE0

Il ne vous reste plus qu’à récupérer votre carte SD, l’insérer dans le Pi, attendre la fin du démarrage, et voilà, votre nouvel utilisateur est disponible !

Conclusion, fallait-il vraiment retirer le mot de passe par défaut ?

Nous espérons que cet article vous aura été utile, et qu’il sortira de l’embarras bien des débutants. À la rédaction de cet article et suite à notre utilisation du Pi depuis avril 2022, nous ne pouvons toutefois nous empêcher d’avoir quelques doutes quand au bien fondé de la suppression du mot de passe par défaut.

Ne pensez pas que nous ne soyons pas sensibles à la question de la sécurité informatique, bien au contraire. Et nous avons conscience que la présence d’un mot par défaut peut-être vu comme un risque de sécurité, spécialement dans le cadre d’attaques de masse automatisées. Mais nous pensons que la sécurité ne devrait pas être un frein à l’expérience utilisateur. Sans quoi elle ira de fait à l’encontre du but initial, nous en voulons pour preuve l’enfer des mots de passe nécessitant 8 lettres, 5 chiffres, 2 caractères spéciaux, 3 ornithorynque, 1 gnome enroulé dans du jambon, 2 boites de raviolis et une incantation à la lune chantée en mi-bémol, et grâce auxquels il suffit aujourd’hui de regarder sur les post-it accrochés aux écrans des secrétaires du monde en entier pour accéder à toutes les données d’une entreprise…

Hors, si la présence d’un mot de passe par défaut peut-être vu comme un risque de sécurité, ce risque restait faible dans le cadre d’une utilisation classique, c’est à dire sur un réseau privé, ceci d’autant plus que l’accès SSH à distance est désactivé par défaut.

La facilité d’utilisation apportée par la présence d’un compte par défaut sur un produit avec lequel il n’est pas rare de multiplier les installations et ré-installations était, elle, un vrai point positif à l’utilisation. D’autres solutions moins contraignantes et plus claires pour l’utilisateur débutant que la suppression pure et simple du compte par défaut nous semblaient plus adaptées.

Lire l'article complet : Créer un compte utilisateur et un mot de passe par défaut pour le Raspberry Pi.