OpenSSH îmbunătățește securitatea cu o nouă funcție

OpenSSH îmbunătățește securitatea cu o nouă funcție care urmărește să oprească atacatorii din start prin penalizări inteligente.

OpenSSH, dezvoltat în prezent ca parte a proiectului OpenBSD, a introdus noi opțiuni de configurare pentru demonul său SSH (sshd), care promit să reducă încercările malițioase de acces neautorizat.

Actualizarea, condusă de dezvoltatorul Damien Miller, include două funcționalități cheie: PerSourcePenalties și PerSourcePenaltyExemptList. Aceste adăugiri sunt concepute pentru a rafina modul în care sshd gestionează comportamentul suspect al clienților, asigurând totodată că utilizatorii legitimi nu sunt afectați în mod nejustificat.

Noua opțiune PerSourcePenalties permite sshd să monitorizeze și să răspundă la comportamente anormale detectate în timpul procesului de autentificare SSH. Când această funcție este activată, sshd urmărește stările de ieșire ale proceselor sale copil din sesiunea pre-autentificare pentru a identifica activități potențial dăunătoare.

Exemple de astfel de activități includ încercările repetate de conectare eșuate, ceea ce poate sugera o tentativă de a ghici parolele, sau acțiuni care cauzează blocarea sshd, indicând posibil o încercare de exploatare.

În cadrul acestui sistem, dacă un client manifestă un comportament care duce la un status de ieșire problematic, sshd impune o penalizare temporară adresei IP a clientului, blocând conexiunile ulterioare de la această adresă și de la altele din același bloc de rețea pentru o durată specificată.

Această perioadă de penalizare poate crește în cazul repetării încălcărilor, până la un prag maxim. Este important de menționat că această funcție este concepută să-și adapteze răspunsul în funcție de gravitatea și frecvența încălcărilor, făcând-o un instrument dinamic împotriva atacurilor asupra rețelei.

În schimb, PerSourcePenaltyExemptList permite administratorilor să specifice adrese IP sau intervale scutite de aceste penalități, asigurându-se că clienții de încredere nu întâmpină probleme de conectare din cauza măsurilor de securitate stricte. Acest lucru este deosebit de util pentru adresele care pot declanșa frecvent alarme false în medii mai sensibile.

Miller și-a exprimat optimismul cu privire la noile funcții, menționând că acestea „vor face mult mai dificil pentru atacatori să găsească conturi cu parole slabe sau ușor de ghicit sau să exploateze bug-uri în sshd în sine.”

El a menționat, de asemenea, că, deși funcția PerSourcePenalties este în prezent dezactivată implicit, este probabil să fie activată automat în actualizările viitoare.

Mulți dintre voi s-ar putea să compare noua funcționalitate cu popularul instrument Fail2Ban, și aveți dreptate; ele sunt destul de asemănătoare din punct de vedere funcțional. Dar vorbim despre o implementare nativă a acestei funcționalități direct în sshd, ceea ce este fantastic.

Totuși, este important de menționat că acest lucru nu înseamnă că Fail2Ban nu mai este util. Are multe funcții suplimentare, cum ar fi gestionarea diferitelor tipuri de autentificare și tratarea diferiților utilizatori în mod specific, așa că nu vă grăbiți să-l retrageți atunci când noua funcție devine disponibilă în implementarea dvs. OpenSSH.

Pentru mai multe informații, vizitați anunțul din OpenBSD Journal.