OpenSSH hat jetzt einen integrierten Schutz gegen Brute-Force-Angriffe hinzugefügt.

In den Code-Basis von OpenSSH wurde ein eingebauter Schutz gegen automatisierte Passwortangriffsangriffe hinzugefügt, bei denen Bots versuchen, das Passwort eines Benutzers zu erraten, indem sie verschiedene gängige Kombinationen durchprobieren. Um solche Angriffe zu blockieren, wurde im Konfigurationsdatei sshd_config der Parameter PerSourcePenalties hinzugefügt, der es ermöglicht, einen Blockierungsgrenzwert festzulegen, der bei einer hohen Anzahl von fehlgeschlagenen Verbindungsversuchen von einer IP-Adresse wirksam wird. Der neue Schutzmechanismus wird Bestandteil der nächsten Version von OpenSSH sein und standardmäßig in OpenBSD 7.6 aktiviert werden.

Wenn der Schutz aktiviert ist, beginnt der sshd-Prozess mit der Überwachung des Status der abgeschlossenen Unterprozesse, um Situationen zu erkennen, in denen die Authentifizierung fehlgeschlagen ist oder der Prozess aufgrund eines Fehlers unerwartet beendet wurde. Eine hohe Fehlerintensität bei der Authentifizierung weist auf Versuche hin, Passwörter zu erraten, während ein unerwartetes Beenden auf Versuche hindeuten kann, Schwachstellen in sshd auszunutzen.

Über den Parameter PerSourcePenalties wird die minimale Schwelle für anormale Ereignisse festgelegt, nachdem deren Überschreitung die IP-Adresse, für die verdächtige Aktivitäten festgestellt wurden, blockiert wird. Mit dem Parameter PerSourceNetBlockSize kann zusätzlich eine Subnetzmaske zum Blockieren des gesamten Netzwerks, zu dem die problematische IP gehört, festgelegt werden.

Um die Blockierung für bestimmte Subnetze zu deaktivieren, wurde der Parameter PerSourcePenaltyExemptList vorgeschlagen, der in Situationen nützlich sein kann, die zu Fehlalarmen führen, wie beispielsweise, wenn Anfragen an den SSH-Server aus einem großen Netzwerk kommen, bei dem die Anfragen verschiedener Benutzer aufgrund der Verwendung eines Adressübersetzers oder Proxys von der gleichen IP-Adresse kommen.

Quelle: opennet.ru