Nel codice sorgente di OpenSSH è stata aggiunta una protezione integrata contro gli attacchi automatizzati di brute force, durante i quali i bot cercano di indovinare la password dell'utente provando diverse combinazioni standard. Per bloccare tali attacchi, nel file di configurazione sshd_config è stato aggiunto il parametro PerSourcePenalties, che consente di definire una soglia di blocco che scatta dopo un numero elevato di tentativi di connessione falliti da un singolo indirizzo IP. Il nuovo meccanismo di protezione entrerà a far parte della prossima versione di OpenSSH e sarà abilitato di default in OpenBSD 7.6.
Quando la protezione è attivata, il processo sshd inizia a monitorare lo stato di completamento dei processi figlio, determinando le situazioni in cui l'autenticazione non è andata a buon fine o quando un processo è stato terminato in modo anomalo a causa di un arresto anomalo. Un'elevata intensità di errori durante l'autenticazione indica tentativi di brute force, mentre un arresto anomalo può suggerire tentativi di sfruttamento di vulnerabilità in sshd.
Attraverso il parametro PerSourcePenalties si può impostare una soglia minima di eventi anomali, oltre la quale l'indirizzo IP che ha mostrato attività sospette sarà bloccato. Inoltre, utilizzando il parametro PerSourceNetBlockSize è possibile definire una maschera di sottorete per bloccare l'intera rete a cui appartiene l'IP problematico.
Per disattivare il blocco per determinate sottoreti, è stato proposto il parametro PerSourcePenaltyExemptList, che può essere utile in situazioni che portano a falsi positivi, ad esempio quando il server SSH riceve richieste da una rete di grandi dimensioni, in cui le richieste da diverse macchine arrivano da IP identici a causa dell'uso di un traduttore di indirizzi o di un proxy.
Fonte: opennet.ru
