Az OpenSSH kódalapjába beépített védelmet integráltak az automatizált jelszófeltörési támadások ellen, amikor a botok megpróbálják kitalálni a felhasználó jelszavát, különböző sablonkombinációk kipróbálásával. Az ilyen támadások blokkolására az sshd_config konfigurációs fájlhoz hozzáadták a PerSourcePenalties paramétert, amely lehetővé teszi a blokkolási küszöb meghatározását, amely aktiválódik, ha egy IP-címről túl sok sikertelen kapcsolódási kísérlet történik. Az új védelmi mechanizmus a következő OpenSSH kiadás része lesz, és alapértelmezés szerint be lesz kapcsolva az OpenBSD 7.6-ban.
A védelem aktiválásakor az sshd folyamata elkezdi nyomon követni a gyermekképző folyamatok befejezésének státuszát, azon esetek meghatározására, amikor az autentikáció nem sikerült, vagy amikor a folyamat váratlanul leállt hiba miatt. A magas szintű hibák az autentikáció során arra utalhatnak, hogy jelszófeltörési kísérletek történnek, míg a váratlan leállások sebezhetőségek kihasználási kísérleteire utalhatnak az sshd-ben.
A PerSourcePenalties paraméter segítségével meghatározható a minimális küszöb az anomális eseményekre, amelynek túllépése után a gyanús tevékenységet mutató IP-cím blokkolásra kerül. A PerSourceNetBlockSize paraméter segítségével további alhálózati maszkot is meghatározhatunk, amely lehetővé teszi egy teljes alhálózat blokkolását, amelyhez a problémás IP tartozik.
Egyes alhálózatok blokkolásának letiltására javasolt a PerSourcePenaltyExemptList paraméter, amely hasznos lehet olyan helyzetekben, amelyek hamis riasztásokhoz vezethetnek, például amikor egy nagy hálózatból érkeznek kapcsolatok az SSH szerverhez, és a különböző felhasználók kérései azonos IP-címről érkeznek az IP-címek átkonfigurálása vagy proxy használata miatt.
Forrás: opennet.ru
