OpenSSH poboljšava sigurnost novom funkcijom

OpenSSH pojačava sigurnost novom funkcijom koja ima za cilj zaustaviti napadače u njihovim pokušajima pametnim kaznama.

OpenSSH, koji se trenutno razvija kao dio projekta OpenBSD, uveo je nove opcije konfiguracije za svoj SSH daemon (sshd), koje obećavaju smanjenje zlonamjernih pokušaja neovlaštenog pristupa.

Ažuriranje, kojeg vodi programer Damien Miller, uključuje dvije ključne značajke: PerSourcePenalties i PerSourcePenaltyExemptList. Ove nadopune dizajnirane su da poboljšaju način na koji sshd upravlja sumnjivim ponašanjem klijenata, istovremeno osiguravajući da legitimni korisnici ne budu nepotrebno pogođeni.

Nova opcija PerSourcePenalties omogućava sshd-u praćenje i reagiranje na abnormalno ponašanje otkriveno tijekom SSH procesa autentifikacije. Kada je ova značajka omogućena, sshd prati izlazne statuse svojih podređenih procesa pre-autentifikacijske sesije kako bi identificirao potencijalno štetne aktivnosti.

Primjeri takvih aktivnosti uključuju ponovljene neuspjele pokušaje prijave, što može upućivati na pokušaj pogađanja lozinki, ili radnje koje uzrokuju pad sshd-a, što može ukazivati na pokušaj iskorištavanja ranjivosti.

Prema ovom sustavu, ako klijent pokazuje ponašanje koje dovodi do problematičnog statusa izlaza, sshd nametne privremenu kaznu IP adresi klijenta, blokirajući daljnje veze s te adrese i drugih unutar istog mrežnog bloka na određeno vrijeme.

Ovo razdoblje kazne može se povećavati kod ponovljenih prijestupa, do maksimalnog praga. Važno je napomenuti da je ova funkcija dizajnirana da prilagođava svoj odgovor na temelju ozbiljnosti i učestalosti prijestupa, čineći je dinamičkim alatom protiv mrežnih napada.

S druge strane, PerSourcePenaltyExemptList omogućuje administratorima da odrede IP adrese ili raspon adresa koje su izuzete od ovih kazni, osiguravajući da pouzdani klijenti ne nailaze na probleme s povezivanjem zbog strogih sigurnosnih mjera. Ovo je posebno korisno za adrese koje često mogu izazvati lažno pozitivne rezultate u osjetljivijim okruženjima.

Miller je izrazio optimizam glede novih značajki, ističući da one „će znatno otežati napadačima da pronađu račune s lozinkama koje su lake za pogađanje ili da iskoriste pogreške u samom sshd-u.“

Također je naznačio da će, iako je značajka PerSourcePenalties trenutno isključena prema zadanim postavkama, vjerojatno biti automatski omogućena u budućim ažuriranjima.

Mnogi od vas možda uspoređuju novu značajku s popularnim alatom Fail2Ban, i u pravu ste; oni su prilično funkcionalno slični. Ali govorimo o nativnoj implementaciji ove funkcionalnosti izravno u sshd, što je fantastično.

Međutim, važno je napomenuti da to ne znači da Fail2Ban više nije koristan. Ima mnogo dodatnih funkcija, poput upravljanja raznim vrstama autentifikacije i tretiranja različitih korisnika na specifične načine, pa nemojte žuriti s njegovim povlačenjem kad nova značajka postane dostupna u vašoj OpenSSH implementaciji.

Za više informacija posjetite objavu u OpenBSD časopisu.