OpenSSH zwiększa bezpieczeństwo dzięki nowej funkcji

OpenSSH zaostrza bezpieczeństwo dzięki nowej funkcji, która ma na celu powstrzymywanie atakujących za pomocą inteligentnych kar.

OpenSSH, obecnie rozwijany w ramach projektu OpenBSD, wprowadził nowe opcje konfiguracyjne dla swojego demona SSH (sshd), które mają na celu ograniczenie złośliwych prób nieautoryzowanego dostępu.

Aktualizacja, prowadzona przez programistę Damiena Millera, zawiera dwie kluczowe funkcje: PerSourcePenalties i PerSourcePenaltyExemptList. Te dodatki mają na celu udoskonalenie sposobu, w jaki sshd obsługuje podejrzane zachowania klientów, jednocześnie zapewniając, że legalni użytkownicy nie będą niepotrzebnie dotknięci.

Nowa opcja PerSourcePenalties umożliwia sshd monitorowanie i reagowanie na nieprawidłowe zachowania wykryte podczas procesu uwierzytelniania SSH. Gdy ta funkcja jest włączona, sshd śledzi statusy zakończenia swoich podrzędnych procesów sesji przed uwierzytelnieniem, aby identyfikować potencjalnie szkodliwe działania.

Przykłady takich działań obejmują wielokrotne nieudane próby logowania, które mogą sugerować próbę odgadnięcia haseł, lub działania powodujące awarię sshd, co może wskazywać na próbę wykorzystania luki.

W ramach tego systemu, jeśli klient wykazuje zachowanie prowadzące do problematycznego statusu wyjścia, sshd nakłada tymczasową karę na adres IP klienta, blokując dalsze połączenia z tego adresu oraz z innych w tym samym bloku sieciowym na określony czas.

Okres kary może się wydłużać w przypadku powtarzających się wykroczeń, aż do osiągnięcia maksymalnego progu. Co ważne, funkcja ta została zaprojektowana tak, aby dostosowywać swoją reakcję w oparciu o ocenę powagi i częstotliwości wykroczeń, co czyni ją dynamicznym narzędziem przeciwko atakom sieciowym.

Z drugiej strony, PerSourcePenaltyExemptList pozwala administratorom na określenie adresów IP lub zakresów zwolnionych z tych ograniczeń, zapewniając, że zaufani klienci nie napotkają problemów z połączeniem z powodu surowych środków bezpieczeństwa. Jest to szczególnie przydatne dla adresów, które mogą często wywoływać fałszywe alarmy w bardziej wrażliwych środowiskach.

Miller wyraził optymizm wobec nowych funkcji, zauważając, że „uczyni to znacznie trudniejszym dla atakujących w odnalezieniu kont z łatwymi do odgadnięcia hasłami lub wykorzystaniem błędów w samym sshd.”

Wskazał również, że chociaż funkcja PerSourcePenalties jest obecnie domyślnie wyłączona, prawdopodobnie zostanie automatycznie włączona w przyszłych aktualizacjach.

Wielu z was może porównywać nową funkcję do popularnego narzędzia Fail2Ban i macie rację; są one dość podobne pod względem funkcjonalnym. Ale mówimy o natywnej implementacji tej funkcjonalności bezpośrednio w sshd, co jest fantastyczne.

Jednak ważne jest, aby zauważyć, że nie oznacza to, że Fail2Ban jest już nieprzydatny. Posiada wiele dodatkowych funkcji, takich jak zarządzanie różnymi typami uwierzytelniania i specjalne traktowanie różnych użytkowników, więc nie spiesz się z jego wycofaniem, gdy nowa funkcja stanie się dostępna w Twojej implementacji OpenSSH.

Aby uzyskać więcej informacji, odwiedź ogłoszenie w OpenBSD Journal.