I kodebasen af OpenSSH er der tilføjet indbygget beskyttelse mod automatiserede angreb på adgangskoder, hvor bots forsøger at gætte brugerens adgangskode ved at gennemgå forskellige typiske kombinationer. For at blokere sådanne angreb er parameteren PerSourcePenalties tilføjet til konfigurationsfilen sshd_config, som muliggør fastsættelse af en tærskel for blokering, der træder i kraft ved et stort antal mislykkedes forbindelseforsøg fra én IP-adresse. Den nye beskyttelsesmekanisme vil blive inkluderet i den næste version af OpenSSH og aktiveret som standard i OpenBSD 7.6.
Når beskyttelsen er aktiveret, begynder sshd-processen at overvåge status for afslutningen af børneprocesser og identificere situationer, hvor autentificeringen ikke er lykkedes, eller hvor processen er blevet afsluttet uventet på grund af en fejl. Høj intensitet af fejl ved autentificeringen indikerer forsøg på adgangskodedannelse, mens uventet afslutning kan tyde på forsøg på udnyttelse af sårbarheder i sshd.
Parameteren PerSourcePenalties angiver den minimale tærskel for unormale hændelser, hvorefter IP-adressen, der har registreret mistænkelig aktivitet, vil blive blokeret. Med parameteren PerSourceNetBlockSize kan man desuden fastsætte et subnetmaske for at blokere hele den subnet, som den problematiske IP tilhører.
For at deaktivere blokering for specifikke subnets er parameteren PerSourcePenaltyExemptList foreslået, som kan være nyttig i situationer, der fører til falske positiver, for eksempel når der foretages anmodninger til SSH-serveren fra et stort netværk, hvor anmodninger fra forskellige brugere kommer fra de samme IP-adresser på grund af brug af adresseoversættere eller proxyer.
Kilde: opennet.ru
