В OpenSSH е добавена вградена защита срещу атаки по подбиране на пароли.

В кода базата на OpenSSH е добавена вградена защита срещу автоматизирани атаки за подбиране на пароли, при които ботове се опитват да отгатнат паролата на потребителя, изброявайки различни стандартни комбинации. За блокиране на подобни атаки в конфигурационния файл sshd_config е добавен параметърът PerSourcePenalties, който позволява да се определи прага на блокировка, задействан при голям брой неуспешни опити за свързване от един IP адрес. Новият механизъм за защита ще бъде включен в следващото издание на OpenSSH и ще бъде активиран по подразбиране в OpenBSD 7.6.

При активиране на защитата, процесът sshd започва да следи статусите на завършване на дочерни процеси, определяйки ситуации, когато аутентификацията е неуспешна или когато процесът е аварийно прекратен поради срив. Високият процент на сривове при аутентификация показва опити за подбиране на пароли, а аварийната прекратяване може да указва на опити за експлоатация на уязвимости в sshd.

Чрез параметъра PerSourcePenalties се задава минималният праг на аномалните събития, след превишаването на който IP адресът, при който е регистрирана подозрителна активност, ще бъде блокиран. С параметъра PerSourceNetBlockSize може допълнително да се определи маска на подсет, за да се блокира цялата подсет, към която принадлежи проблемният IP.

За деактивиране на блокировките за отделни подсети е предложен параметърът PerSourcePenaltyExemptList, който може да бъде полезен в ситуации, водещи до фалшиви срабатывания, например, когато към SSH сървъра се правят заявки от голяма мрежа, чийто различни потребители идват от идентични IP адреси поради използването на адресни транслатори или проксита.

Източник: opennet.ru