Do kódu OpenSSH byla přidána vestavěná ochrana proti automatizovaným útokům na hádání hesel, při nichž se boti snaží uhodnout uživatelské heslo zkoušením různých typových kombinací. K zablokování takových útoků byl do konfiguračního souboru sshd_config přidán parametr PerSourcePenalties, který umožňuje stanovit prahovou hodnotu blokace, aktivující se při vysokém počtu neúspěšných pokusů o připojení z jedné IP adresy. Nový ochranný mechanismus bude součástí další verze OpenSSH a bude ve výchozím nastavení zapnutý v OpenBSD 7.6.
Při zapnutí ochrany proces sshd začíná sledovat stav ukončení podřízených procesů, určuje situace, kdy došlo k neúspěšné autentizaci nebo kdy byl proces nečekaně ukončen kvůli chybě. Vysoká intenzita chyb při autentizaci naznačuje pokusy o hádání hesel, a nečekané ukončení může ukazovat na pokusy o zneužití zranitelností v sshd.
Parametr PerSourcePenalties určuje minimální prahovou hodnotu abnormálních událostí, po jejímž překročení bude IP adresa, pro kterou byla zaznamenána podezřelá aktivita, zablokována. Pomocí parametru PerSourceNetBlockSize můžete dále určit masku podsítě pro zablokování celé podsítě, které problematická IP patří.
Pro vyloučení spouštění blokace pro jednotlivé podsítě byl navržen parametr PerSourcePenaltyExemptList, který může být užitečný v situacích vedoucích k falešným poplachům, například když se k SSH serveru přistupuje z velké sítě, kde požadavky různých uživatelů přicházejí z identických IP adres kvůli použití překladače adres nebo proxy.
Zdroj: opennet.ru
