T\u00e9l\u00e9chargez ma fiche m\u00e9mo des commandes Linux gratuitement<\/a> \u2013 c\u2019est un guide de r\u00e9f\u00e9rence rapide avec toutes les commandes essentielles dont vous aurez besoin utiliser votre Raspberry Pi. Cliquez ici pour l\u2019obtenir gratuitement !<\/b><\/a><\/p>\n\n\n
1 \u2013 Gardez votre syst\u00e8me \u00e0 jour<\/h2>\n\n\n\n
Cela peut sembler \u00e9vident, mais c\u2019est la chose la plus importante \u00e0 faire r\u00e9guli\u00e8rement (d\u2019ailleurs, tous les conseils de cette liste sont class\u00e9s par ordre de priorit\u00e9, alors suivez-les dans l\u2019ordre et arr\u00eatez-vous seulement si vous pensez que c\u2019est exag\u00e9r\u00e9 pour votre configuration).<\/p>\n\n\n\n
Il est important de mettre r\u00e9guli\u00e8rement \u00e0 jour votre syst\u00e8me en utilisant le d\u00e9p\u00f4t par d\u00e9faut de Raspberry Pi OS. Non seulement vous obtiendrez les derni\u00e8res fonctionnalit\u00e9s, mais aussi toutes les corrections de s\u00e9curit\u00e9 pour vos applications install\u00e9es.<\/strong><\/p>\n\n\n\n Essayez de mettre \u00e0 jour votre Raspberry Pi r\u00e9guli\u00e8rement avec : Vous pouvez \u00e9galement automatiser ce processus avec le paquet unattended-upgrades. N\u2019oubliez pas de v\u00e9rifier le fichier journal et\/ou les e-mails re\u00e7us pour vous assurer que tout fonctionne comme pr\u00e9vu.<\/p>\n\n\n\n Si les commandes Linux ce n’est pas trop votre truc, n’h\u00e9sitez pas \u00e0 jeter un \u0153il \u00e0 cet article<\/a> qui vous explique les commandes qu’il faut absolument conna\u00eetre. Je vous donne aussi une antis\u00e8che \u00e0 t\u00e9l\u00e9charger pour les avoir toujours sous la main\u202f!<\/p>\n\n\n\n Les mots de passe sont un aspect important de la s\u00e9curit\u00e9 du syst\u00e8me.<\/p>\n\n\n\n Premi\u00e8rement : assurez-vous que tout acc\u00e8s critique demande un mot de passe. Je ne listerai pas toutes les applications, mais par exemple, si vous avez un serveur web<\/a>, assurez-vous que les donn\u00e9es personnelles ou les pages d\u2019administration ne soient pas accessibles sans mot de passe.<\/p>\n\n\n\n Assurez-vous que personne n\u2019utilise un mot de passe vide sur le Raspberry Pi. Si vous avez quelques comptes, il est facile de v\u00e9rifier tous les acc\u00e8s.<\/p>\n\n\n\n Si vous avez beaucoup de comptes utilisateurs, ces commandes pourraient vous aider :<\/p>\n\n\n\n Une erreur courante<\/a> est de laisser le mot de passe par d\u00e9faut pour l\u2019utilisateur pi (raspberry). Toute personne qui a d\u00e9j\u00e0 utilis\u00e9 un Raspberry Pi conna\u00eetra ce mot de passe. De nombreuses personnes scannent les ports SSH et essaient de se connecter avec pi\/raspberry.<\/p>\n\n\n\n Sur les installations r\u00e9centes de Raspberry Pi OS, il n\u2019y a plus de login\/mot de passe par d\u00e9faut d\u00e9fini. Il y a donc de bonnes chances que vous soyez d\u00e9j\u00e0 en s\u00e9curit\u00e9, mais au cas o\u00f9 vous auriez une ancienne installation, assurez-vous de ne pas commettre cette erreur.<\/p>\n\n\n\n Changer le mot de passe par d\u00e9faut doit \u00eatre la premi\u00e8re chose \u00e0 faire sur une nouvelle installation<\/strong>. Essayez d\u2019utiliser une phrase de plus de 15 caract\u00e8res pour \u00eatre en s\u00e9curit\u00e9 contre les attaques par force brute, et pour vous en souvenir facilement (ex : j\u2019aimeleraspberrytips est un bon mot de passe facile \u00e0 retenir). Si vous avez besoin d\u2019id\u00e9es, ce site propose un g\u00e9n\u00e9rateur<\/a> de mot de passe <\/a>facile \u00e0 se rappeler<\/a> (oui c\u2019est le mien, mais j\u2019aime ce genre de mot de passe).<\/p>\n\n\n\n Comme je l\u2019ai dit, le nom d\u2019utilisateur \u00ab\u00a0pi\u00a0\u00bb est l\u2019un des identifiants les plus attaqu\u00e9s avec root. Les hackers ont une liste d\u2019identifiants couramment utilis\u00e9s et essaient principalement ceux-ci. Les nouvelles installations comme Raspberry Pi OS Bookworm<\/a> n\u2019utilisent plus cet utilisateur par d\u00e9faut, mais peut-\u00eatre avez-vous encore une vieille installation \u00e0 port\u00e9e de main.<\/p>\n\n\n\n M\u00eame sur les nouvelles installations, il est encore possible de l\u2019utiliser, mais je vous le d\u00e9conseille fortement. M\u00eame utiliser votre pr\u00e9nom ou le nom de votre soci\u00e9t\u00e9 est une meilleure id\u00e9e (et c\u2019est loin d\u2019\u00eatre le meilleur choix).<\/p>\n\n\n\n Si possible, cr\u00e9ez un nouvel utilisateur et d\u00e9sactivez l\u2019utilisateur pi pour \u00e9viter ce genre d\u2019attaques :<\/p>\n\n\n\n Articles connexes : <\/strong><\/p>\n\n\n\n Sur Raspberry Pi, nous essayons beaucoup de projets divers, et cela pourrait \u00eatre une mauvaise habitude en ce qui concerne la s\u00e9curit\u00e9.<\/p>\n\n\n\n Disons que vous avez install\u00e9 PHPMyAdmin<\/a> il y a plusieurs mois pour essayer quelque chose, mais vous ne l\u2019utilisez plus. Cela pourrait cr\u00e9er une br\u00e8che et qu\u2019un attaquant entre dans votre syst\u00e8me.<\/p>\n\n\n\n Essayez d\u2019arr\u00eater ou de d\u00e9sinstaller les services et applications inutiles :<\/p>\n\n\n\n Vous pouvez consulter mon tutoriel sur comment d\u00e9sinstaller des paquets sur un Raspberry Pi<\/a> ici si vous avez besoin de plus de d\u00e9tails.<\/p>\n\n\n\n Comme vous devriez le savoir, sudo<\/a> (en anglais) ne demande pas toujours un mot de passe. La plupart du temps, vous n\u2019avez pas besoin de retaper votre mot de passe. C\u2019est cool pour la productivit\u00e9, mais pour des raisons de s\u00e9curit\u00e9, ce n\u2019est pas une bonne id\u00e9e.<\/p>\n\n\n\n Si quelqu\u2019un parvient \u00e0 acc\u00e9der au terminal de votre utilisateur principal Raspberry Pi, les privil\u00e8ges de super-utilisateur seront accessibles sans mot de passe.<\/strong><\/p>\n\n\n\n Je vous recommande de demander un mot de passe lorsque sudo est invoqu\u00e9 :<\/p>\n\n\n\n Comme je l\u2019ai dit pr\u00e9c\u00e9demment, les utilisateurs root et pi sont souvent les principales cibles des attaques par force brute. C\u2019est particuli\u00e8rement vrai lorsque SSH est activ\u00e9.<\/p>\n\n\n\n Ainsi, vous devez vous assurer que root n\u2019a pas d\u2019acc\u00e8s direct SSH. Si vous avez besoin de root, connectez-vous avec votre utilisateur normal et utilisez ensuite sudo pour obtenir les privil\u00e8ges super-utilisateur (comme expliqu\u00e9 dans cet article<\/a>).<\/p>\n\n\n\n Par d\u00e9faut, l\u2019acc\u00e8s root est d\u00e9sactiv\u00e9. Aucune id\u00e9e de ce qu\u2019est SSH ? Commencez par lire mon guide complet \u00e0 ce sujet<\/a>.<\/p>\n\n\n\n Le port SSH par d\u00e9faut est 22.<\/p>\n\n\n\n Donc, en gros, les attaquants cr\u00e9eront des bots pour tenter de se connecter sur ce port. N\u2019oubliez pas d\u2019ajuster les r\u00e8gles du pare-feu si vous en avez un.<\/p>\n\n\n\n Avant de fermer votre connexion actuelle, testez la nouvelle, afin de pouvoir revenir en arri\u00e8re en cas d\u2019erreur. Dans les \u00e9tapes pr\u00e9c\u00e9dentes, nous avons d\u00e9j\u00e0 bloqu\u00e9 la plupart des script kiddies qui lancent d\u2019importantes attaques sur n\u2019importe quelle adresse IP r\u00e9pondant.<\/p>\n\n\n\n Nous passons maintenant \u00e0 des mesures qui pourraient vous prot\u00e9ger m\u00eame si vous faites face \u00e0 un hacker comp\u00e9tent particuli\u00e8rement int\u00e9ress\u00e9 par votre syst\u00e8me.<\/p>\n\n\n\n Utiliser un mot de passe compliqu\u00e9 ralentira l\u2019attaque, mais il est toujours possible de le trouver, m\u00eame si cela prend des semaines pour obtenir le bon mot de passe. Pour bloquer cela, utilisez des cl\u00e9s SSH au lieu de mots de passe<\/a> pour vos connexions. Un attaquant peut deviner un mot de passe de 15 caract\u00e8res, mais pas une cl\u00e9 SSH.<\/strong><\/p>\n\n\n\n L\u2019id\u00e9e principale est de g\u00e9n\u00e9rer une cl\u00e9 sur votre ordinateur, puis de l\u2019ajouter au Raspberry Pi pour permettre une connexion depuis votre ordinateur (avec ou sans mot de passe). Je vous donne la proc\u00e9dure \u00e9tape par \u00e9tape dans cet article<\/a>.<\/p>\n\n\n\n Ce n\u2019est que lorsque cela fonctionne que vous devriez d\u00e9sactiver les mots de passe pour les connexions SSH. Fail2ban est un outil <\/strong>qui d\u00e9tecte les attaques par force brute et les bloque.<\/p>\n\n\n\n Dans les \u00e9tapes pr\u00e9c\u00e9dentes, j\u2019ai mentionn\u00e9 qu\u2019un attaquant pourrait tenter de trouver votre mot de passe pendant des mois, et peut-\u00eatre y r\u00e9ussir. Le but principal de Fail2ban est d\u2019\u00e9viter cela.<\/p>\n\n\n\n Fail2ban bloquera les adresses IP des attaquants s\u2019ils ne parviennent pas \u00e0 se connecter plus de X fois. Vous pouvez configurer le nombre d\u2019essais avant un bannissement, et la dur\u00e9e de celui-ci.<\/p>\n\n\n\n Suivez ces \u00e9tapes pour installer Fail2ban sur votre Raspberry Pi :<\/p>\n\n\n\n Cela devrait vraiment ralentir votre attaquant. 5 tentatives toutes les 10 minutes, c\u2019est 720 essais par jour. Si votre mot de passe est plus complexe que \u00ab\u00a0password\u00a0\u00bb ou \u00ab\u00a0123456789\u00a0\u00bb, il devrait falloir longtemps au hacker pour le d\u00e9couvrir.<\/p>\n\n\n\n Voici mon tutoriel sur comment utiliser Fail2ban sur votre Raspberry Pi<\/a>. N\u2019h\u00e9sitez pas \u00e0 le consulter si vous avez besoin de plus de d\u00e9tails ou si vous souhaitez approfondir la configuration de ce service utile.<\/p>\n\n\n\n Si vous ne le savez pas, un pare-feu vous permet de bloquer tous les ports sauf ceux dont vous avez besoin et de filtrer l\u2019acc\u00e8s par IP. Par exemple, vous pouvez bloquer tout le monde, et autoriser seulement l\u2019acc\u00e8s SSH depuis l\u2019adresse IP de votre ordinateur sp\u00e9cifique.<\/strong><\/p>\n\n\n\n Comme expliqu\u00e9 dans cet article approfondi, un antivirus n\u2019est pas obligatoire sur Raspberry Pi<\/a>, et Linux en g\u00e9n\u00e9ral, mais un pare-feu est une bonne pratique si vous h\u00e9bergez des services critiques dessus.<\/p>\n\n\n\n J\u2019ai l\u2019habitude d\u2019installer iptables<\/em> pour mes r\u00e8gles de pare-feu, mais peut-\u00eatre que pour un d\u00e9butant, ce n\u2019est pas la voie la plus facile \u00e0 suivre. Donc, je vais vous expliquer comment installer ufw<\/a> (U<\/strong>ncomplicated F<\/strong>ireW<\/strong>all), qui est plus simple, puis autoriser seulement ce dont vous avez besoin.<\/p>\n\n\n\n C\u2019est une configuration basique avec un acc\u00e8s HTTP pour tout le monde, et SSH seulement pour vous, mais vous devez adapter cela \u00e0 ce que vous voulez faire.<\/p>\n\n\n\n Pour afficher vos r\u00e8gles actuelles une fois ufw activ\u00e9, utilisez cette commande : Pour des configurations plus complexes, consultez sa page de manuel<\/a>. Et cette vid\u00e9o peut \u00e9galement \u00eatre un bon point de d\u00e9part si vous avez besoin de plus de conseils visuels :<\/p>\n\n\n\nsudo apt update
sudo apt upgrade<\/code><\/p>\n\n\n![\"sudo](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2024\/11\/raspberry_pi_apt_upgrade.jpg\")
<\/figure>\n<\/div>\n\n\n
Cette proc\u00e9dure vous permet d\u2019installer automatiquement les correctifs de s\u00e9curit\u00e9 chaque jour :<\/p>\n\n\n\n\n
<\/strong>sudo apt install unattended-upgrades <\/code><\/li>\n\n\n\n
<\/strong>sudo nano \/etc\/apt\/apt.conf.d\/50unattended-upgrades <\/code><\/li>\n\n\n\n
<\/strong>Par d\u00e9faut, il ne t\u00e9l\u00e9chargera que les mises \u00e0 jour de s\u00e9curit\u00e9, mais vous pouvez changer cela si vous voulez installer toutes les mises \u00e0 jour de Debian ou m\u00eame les mises \u00e0 jour d’autres d\u00e9p\u00f4ts.
Je recommande au moins de d\u00e9commenter cette ligne :\/\/Unattended-Upgrade::Mail \"\"; <\/code>
Et choisissez un utilisateur local pour recevoir les notifications. Par exemple :Unattended-Upgrade::Mail \"root\";<\/code>![\"unattended](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/03\/mail-unattended.jpg\")
<\/code>Vous ne pouvez pas utiliser une adresse e-mail normale<\/a> (cliquez sur le lien pour savoir comment l’installer).
Et m\u00eame pour les utilisateurs locaux, vous pouvez avoir besoin d’installer la commande mail, par exemple avec :sudo apt install mailutils<\/code><\/li>\n\n\n\n
Ouvrez ce fichier :
<\/strong>sudo nano \/etc\/apt\/apt.conf.d\/02periodic <\/code><\/li>\n\n\n\nAPT::Periodic::Enable \"1\";
APT::Periodic::Update-Package-Lists \"1\";
APT::Periodic::Download-Upgradeable-Packages \"1\";
APT::Periodic::Unattended-Upgrade \"1\";
APT::Periodic::AutocleanInterval \"1\";
APT::Periodic::Verbose \"2\"; <\/code>
Cela activera une mise \u00e0 jour automatique chaque jour.![\"\"](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/03\/periodic-unattended.jpg\")
Nous demandons \u00e0 apt de faire : les mises \u00e0 jour, t\u00e9l\u00e9charger les mises \u00e0 niveau, installer les mises \u00e0 niveau, et nettoyer automatiquement chaque jour.
La derni\u00e8re ligne est le niveau de verbosit\u00e9 que vous obtiendrez dans le fichier \/var\/log\/unattended-upgrades et par e-mail (1= faible, 3=max).<\/li>\n\n\n\nsudo unattended-upgrades -d <\/code><\/li>\n<\/ul>\n\n\n\n2 \u2013 N\u2019utilisez pas d\u2019auto-login ou de mots de passe vides<\/h2>\n\n\n\n
<\/strong>N\u2019utilisez pas l\u2019auto-login et veillez \u00e0 ajouter une \u00e9tape de connexion pour chaque application que vous pouvez acc\u00e9der directement.<\/p>\n\n\n![\"raspberry](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2021\/03\/disable-auto-login.jpg\")
<\/figure>\n<\/div>\n\n\n\n
<\/strong>sudo awk -F: '($2 == \"\") {print}' \/etc\/shadow<\/code>
Cela n\u2019affichera que les comptes avec un mot de passe vide.<\/li>\n\n\n\n
<\/strong>passwd -l <nom_utilisateur><\/code><\/li>\n<\/ul>\n\n\n\n3 \u2013 Changer le mot de passe par d\u00e9faut de l\u2019utilisateur Pi<\/h2>\n\n\n\n
Pour faire cela, c\u2019est facile, connectez-vous en tant que pi et entrez cette commande : passwd<\/code><\/p>\n\n\n![\"sudo](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/07\/sudo_passwd.jpg\")
<\/figure>\n<\/div>\n\n\n4 \u2013 D\u00e9sactiver l\u2019utilisateur pi<\/h2>\n\n\n\n
\n
<\/strong>sudo adduser <nom_utilisateur><\/code><\/code><\/li>\n\n\n\n
<\/strong>sudo adduser <nom_utilisateur> sudo<\/code>
<\/username><\/code>Cela ajoutera votre nouvel utilisateur au groupe sudo.<\/li>\n\n\n\n
<\/strong>sudo cp \/home\/pi\/Documents\/* \/home\/<username><\/code>
<\/strong>sudo deluser -remove-home pi <\/code>
Si vous pr\u00e9f\u00e9rez, vous pouvez commencer par verrouiller le compte (comme dit pr\u00e9c\u00e9demment), et le supprimer seulement apr\u00e8s quelques semaines, lorsque vous \u00eates s\u00fbr que tout fonctionne bien.<\/li>\n<\/ul>\n\n\n\n\n
5 \u2013 D\u00e9sactiver les services inutiles<\/h2>\n\n\n\n
\n
<\/strong>sudo service --status-all<\/code>![\"sudo](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/03\/sudo_service_status.jpg\")
<\/li>\n\n\n\n
<\/strong>sudo service <nom-du-service> stop<\/code>
<\/service-name><\/code>S\u2019il d\u00e9marre automatiquement au d\u00e9marrage, essayez : sudo update-rc.d <nom-du-service><\/code><\/code> remove<\/code><\/code><\/li>\n\n\n\nsudo apt remove <nom-du-service><\/code><\/code><\/code><\/code><\/li>\n<\/ul>\n\n\n\n6 \u2013 Faire en sorte que sudo demande un mot de passe<\/h2>\n\n\n\n
\n
<\/strong>sudo nano \/etc\/sudoers.d\/010_pi-nopasswd <\/code><\/li>\n\n\n\n
<\/strong>pat ALL=(ALL) NOPASSWD: ALL
<\/code>Ou pour tous les autres utilisateurs si vous avez suivi les \u00e9tapes pr\u00e9c\u00e9dentes.<\/li>\n\n\n\n
<\/strong>pat ALL=(ALL) PASSWD: ALL <\/code><\/li>\n\n\n\n![\"\"](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/03\/sudo_passwordd_added.jpg\")
<\/figure>\n<\/div>\n\n\n7 \u2013 SSH : Emp\u00eacher la connexion root<\/h2>\n\n\n\n
Vous pouvez v\u00e9rifier cela :<\/p>\n\n\n\n\n
<\/strong>sudo nano \/etc\/ssh\/sshd_config <\/code><\/li>\n\n\n\n
<\/strong>#PermitRootLogin prohibit-password <\/code><\/li>\n\n\n\n
<\/strong>sudo service ssh restart <\/code><\/li>\n<\/ul>\n\n\n\n8 \u2013 SSH : Changer le port par d\u00e9faut<\/h2>\n\n\n\n
Pour \u00e9viter cela, vous pouvez changer le port par d\u00e9faut et en d\u00e9finir un autre :<\/p>\n\n\n\n\n
<\/strong>sudo nano \/etc\/ssh\/sshd_config <\/code><\/li>\n\n\n\n
<\/strong>#Port 22 <\/code><\/li>\n\n\n\n
<\/strong>Port 1111
<\/code>\u00c9vitez les conflits de port en utilisant un port libre, liste compl\u00e8te ici :
Liste des ports connus sur Wikipedia<\/a>.<\/li>\n\n\n\n
<\/strong>sudo service ssh restart <\/code><\/li>\n<\/ul>\n\n\n\n
Vous devez mettre \u00e0 jour le port dans vos param\u00e8tres de connexion (avec Putty c\u2019est juste apr\u00e8s l\u2019adresse IP) :![\"putty](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2019\/01\/putty-port.jpg\")
<\/p>\n\n\n\n9 \u2013 SSH : Utilisez des cl\u00e9s SSH au lieu de mots de passe<\/h2>\n\n\n\n
Pour ce faire, modifiez cette ligne dans le fichier de configuration SSH que nous avons vu pr\u00e9c\u00e9demment :PasswordAuthentication no<\/code><\/p>\n\n\n\n10 \u2013 Installer Fail2ban<\/h2>\n\n\n\n
\n
<\/strong>sudo apt install fail2ban <\/code><\/li>\n\n\n\n
Ce param\u00e8tre est correct pour commencer, mais si vous souhaitez le modifier, toute la configuration se trouve dans le dossier \/etc\/fail2ban<\/em>.
Principalement dans \/etc\/fail2ban\/jail.conf :sudo nano \/etc\/fail2ban\/jail.conf<\/code><\/li>\n\n\n\nsudo service fail2ban restart <\/code><\/li>\n<\/ul>\n\n\n![\"fail2ban](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2019\/08\/fail2ban_service_configs.jpg\")
11 \u2013 Installer un pare-feu<\/h2>\n\n\n\n
\n
<\/strong>sudo apt install ufw <\/code><\/li>\n\n\n\n
<\/strong>sudo ufw allow 80
sudo ufw allow 443 <\/code><\/li>\n\n\n\nsudo ufw allow from 192.168.1.100 port 22 <\/code>
N\u2019oubliez pas de remplacer les valeurs par vos propres param\u00e8tres.
Sur un r\u00e9seau local, vous pouvez obtenir votre adresse IP avec ipconfig (Windows) ou ifconfig (Linux\/Mac).
Si vous changez le port SSH \u00e0 l\u2019\u00e9tape pr\u00e9c\u00e9dente (en 1111 ou autre chose), remplacez-le ici.<\/li>\n\n\n\n
<\/strong>sudo ufw enable
<\/code>Attention, cela activera le pare-feu maintenant, et aussi au d\u00e9marrage.
Si vous perdez l\u2019acc\u00e8s \u00e0 votre appareil, vous ne pourrez pas corriger cela, m\u00eame apr\u00e8s un red\u00e9marrage.
Vous devrez changer la configuration directement sur le Raspberry Pi (physiquement).<\/li>\n\n\n\nsudo ufw status verbose<\/code><\/p>\n\n\n![\"firewall](\"https:\/\/raspberrytips.com\/wp-content\/uploads\/2022\/03\/ufw_firewall_status.jpg\")
<\/figure>\n<\/div>\n\n\n
Mon autre tutoriel sur la construction d\u2019un routeur sans fil avec fonctionnalit\u00e9s de pare-feu<\/a> peut \u00e9galement vous aider.<\/p>\n\n\n\n