87 lines
2.8 KiB
Markdown
87 lines
2.8 KiB
Markdown
# Sicherheit – Raspberry PI5
|
||
|
||
**Zusammenfassung**: SSH-Zugriff ist auf Public-Key-Authentifizierung beschränkt. Einige Sicherheitslücken bestehen (Grafana-Passwort, Gitea-Container-Konfiguration).
|
||
**Quellen**: 🔌 SSH (`/etc/ssh/sshd_config`, `/etc/passwd`, `groups`, `docker inspect`)
|
||
**Zuletzt aktualisiert**: 2026-06-17
|
||
|
||
---
|
||
|
||
## SSH-Zugang
|
||
|
||
- **Passwort-Authentifizierung**: **Deaktiviert** (`KbdInteractiveAuthentication no`)
|
||
- **Zugelassen**: Nur SSH-Key (Public-Key-Auth via `authorized_keys`)
|
||
- **User**: `piadmin` (UID 1000, /home/piadmin, bash)
|
||
- **SSH-Port**: 22 (Standard)
|
||
- **Keys**: Ed25519-Schlüsselpaar vorhanden
|
||
|
||
## Benutzer & Gruppen
|
||
|
||
Einziger menschlicher Benutzer: `piadmin`
|
||
|
||
Gruppen-Mitgliedschaften von `piadmin`:
|
||
|
||
| Gruppe | Zweck |
|
||
|---|---|
|
||
| `piadmin` | Eigenes |
|
||
| `adm` | Log-Dateien lesen |
|
||
| `dialout` | Serielle Schnittstelle |
|
||
| `cdrom` | Optische Laufwerke |
|
||
| `sudo` | **Vollständiger root-Zugriff** (sudo) |
|
||
| `audio` | Audio-Geräte |
|
||
| `video` | Video-Geräte |
|
||
| `plugdev` | Wechselmedien |
|
||
| `games` | Spiele |
|
||
| `users` | Standard-Benutzergruppe |
|
||
| `input` | Eingabegeräte |
|
||
| `render` | GPU-Rendering |
|
||
| `netdev` | Netzwerk-Konfiguration |
|
||
| `spi` | SPI-Schnittstelle |
|
||
| `i2c` | I²C-Schnittstelle |
|
||
| `gpio` | GPIO-Pins |
|
||
| **`docker`** | **Docker-Befehle ohne sudo** |
|
||
|
||
## LUKS-Verschlüsselung
|
||
|
||
Beide Datenpartitionen sind mit LUKS2 verschlüsselt und erfordern einen **USB-Schlüsselstick** (`/mnt/usb_key/`) zum Booten:
|
||
|
||
| Container | Schlüsseldatei | Größe |
|
||
|---|---|---|
|
||
| `encrypt_data` | `/mnt/usb_key/twotb.bin` | 4096 Bytes |
|
||
| `encrypt_sdc3` | `/mnt/usb_key/onetb.bin` | 16384 Bytes |
|
||
|
||
Siehe [luks-verschluesselung](../Konfiguration/luks-verschluesselung.md).
|
||
|
||
## Bekannte Sicherheitslücken
|
||
|
||
### 🔴 Grafana-Passwort im Klartext
|
||
|
||
In `/opt/compose/monitoring/docker-compose.yml` steht das Admin-Passwort als Umgebungsvariable im Klartext:
|
||
|
||
```yaml
|
||
environment:
|
||
- GF_SECURITY_ADMIN_PASSWORD=Y57ekJeG2fLohiL0xdZNDViKteDZf55wQkhvabR96xPlEy4qRd
|
||
```
|
||
|
||
Sollte in ein Docker-Secret oder eine `.env`-Datei ausgelagert werden.
|
||
|
||
### 🔴 Gitea-Container `restart: no`
|
||
|
||
Der Gitea-Container hat die Restart-Policy `no` (statt `unless-stopped`) und läuft nicht. Die zugehörige MariaDB läuft dagegen normal.
|
||
|
||
Siehe [gitea](../Konfiguration/docker/gitea.md).
|
||
|
||
### 🟡 Collabora-Admin-Passwort
|
||
|
||
Der Standard-Admin-Zugang für Collabora sollte geändert werden.
|
||
|
||
### 🟡 HTTP->HTTPS-Weiterleitung
|
||
|
||
Die Weiterleitung von HTTP auf HTTPS ist in Traefik **auskommentiert**. Dienste sind zwar nur per HTTPS aufrufbar, aber HTTP-Anfragen geben einen 404 statt einer Weiterleitung.
|
||
|
||
## Verwandte Seiten
|
||
|
||
- [systemuebersicht](../Konfiguration/systemuebersicht.md)
|
||
- [luks-verschluesselung](../Konfiguration/luks-verschluesselung.md)
|
||
- [gitea](../Konfiguration/docker/gitea.md)
|
||
- [monitoring](../Konfiguration/docker/monitoring.md)
|