PfSense : comment remplacer le compte admin par un nouveau compte ?
Sommaire
I. Présentation
Dans ce tutoriel, nous allons voir comment désactiver le compte "admin" natif de PfSense pour le remplacer par un nouveau compte avec des droits complets d'administration.
Vous allez me dire, mais pourquoi désactiver le compte "admin" par défaut, si c'est pour en recréer un nouveau ? Et bien, la réponse est simple : ce compte nommé "admin" est présent par défaut sur toutes les installations PfSense et il dispose de l'ensemble des droits sur le pare-feu. De ce fait, c'est une information importante pour les pirates informatiques : si le compte est actif, ils n'ont plus qu'à deviner le mot de passe afin d'avoir un accès total à votre pare-feu.
Pour se protéger, l'idée est simple : on va créer un nouveau compte sur le pare-feu PfSense et lui donner les droits d'administration, au même titre que le compte "admin. Quant au compte "admin", on ne peut pas le supprimer alors on se contentera d'empêcher qu'il soit utilisable.
Si vous êtes prêt, il ne reste plus qu'à vous connecter à l'interface web de PfSense pour commencer.
II. Créer un compte admin sur PfSense
Au sein de l'interface d'administration, cliquez sur le menu "System" puis "User Manager". La liste des utilisateurs locaux va s'afficher : il peut y avoir seulement le compte "admin" ou d'autres comptes (notamment pour la partie VPN, par exemple).
Ce qui est très important, c'est de créer un deuxième compte admin avant de désactiver le compte natif afin d'éviter de se couper l'herbe sur le pied... À vrai dire, je n'ai jamais testé par crainte de me retrouver bloqué.
Cliquez sur le bouton "Add" afin de créer un nouveau compte.
Il faut commencer par définir un nom d'utilisateur via le champ "Username". Choisissez quelque chose un minimum original, l'objectif étant de créer un compte avec un identifiant peu commun : on évitera "administrateur", par exemple. Si vous avez une politique de nommage pour les comptes à privilèges élevés dans votre société, c'est le moment de s'en servir. Ensuite, définissez un mot de passe via le champ "Password" (à saisir deux fois).
Le champ "Group membership" va nous permettre d'ajouter l'utilisateur que l'on est en train de créer au groupe "admins". Ce groupe dispose des privilèges d'administration sur le pare-feu. Sélectionnez "admins" et cliquez sur "Move to member of list", ce qui doit basculer le groupe dans la zone "Member of" sur la droite. Une fois que c'est fait, validez la création du compte.
S'il vous arrive d'administrer votre PfSense via SSH (par défaut SSH est désactivé sur PfSense), il faut ajouter une autorisation supplémentaire sur le compte. Pour cela, modifiez le compte nouvellement créé. Sinon, ce n'est pas nécessaire vous pouvez passer à la suite.
Descendez jusqu'à la section "Effective Privileges", cliquez sur le bouton "Add" et recherchez dans la liste "User - System : Shell account access" afin d'ajouter cette autorisation supplémentaire.
Voilà, la première étape est effectuée. Si vous envisagez de créer plusieurs comptes d'administration du pare-feu, il suffit de répéter cette opération.
III. Désactiver le compte admin natif de Pfsense
Notre nouveau compte administrateur nommé "adm_florian" est opérationnel. D'ailleurs, vous pouvez le tester avant de passer à la suite de la configuration pour être sûr de votre coup. Ce sera l'occasion de poursuivre la configuration avec ce nouveau compte flambant neuf !
Ensuite, il faut que l'on rende inaccessible le compte "admin" natif. Pour cela, cliquez sur le bouton en forme de crayon sur la droite, afin de pouvoir éditer l'utilisateur "admin". Comme ceci :
Il suffit de cocher l'option "This user cannot login" afin que ce compte soit, en quelque sorte, désactivé. En complément, le compte peut être retiré du groupe "admins" en faisant l'opération inverse vis-à-vis de toute à l'heure.
Il ne reste plus qu'à valider. Si vous essayez de vous connecter avec le compte "admin", vous allez obtenir le message suivant :
Username or Password incorrect
Le message reste suffisamment vague pour laisser croire que le compte est accessible. En réalité, ce message s'affiche y compris lorsque le mot de passe est correct : la preuve que le compte "admin" natif est inaccessible.
En complément de cette mesure de sécurité, je vous recommande de protéger l'accès à l'interface de PfSense contre les attaques de type brute force :
