Nel codice sorgente di OpenSSH è stata aggiunta una protezione integrata contro gli attacchi automatizzati per la raccolta di password, in cui i bot cercano di indovinare la password dell'utente provando varie combinazioni standard. Per bloccare tali attacchi, nel file di configurazione sshd_config è stato aggiunto il parametro PerSourcePenalties, che consente di impostare una soglia di blocco attivabile dopo un elevato numero di tentativi di connessione falliti da un singolo indirizzo IP. Questo nuovo meccanismo di protezione sarà incluso nella prossima versione di OpenSSH e sarà attivato di default in OpenBSD 7.6.
Quando la protezione è attivata, il processo sshd inizia a monitorare lo stato di terminazione dei processi figlio, identificando situazioni in cui l'autenticazione non è avvenuta o in cui il processo è stato terminato in modo anomalo a causa di un errore. Un'elevata intensità di errori di autenticazione indica tentativi di raccolta di password, mentre le terminazioni anomale possono suggerire tentativi di sfruttamento delle vulnerabilità in sshd.
Il parametro PerSourcePenalties definisce la soglia minima di eventi anomali, oltre la quale l'indirizzo IP, per il quale è stata registrata un'attività sospetta, verrà bloccato. Con il parametro PerSourceNetBlockSize è possibile definire ulteriormente la maschera di sottorete per bloccare l'intera rete a cui appartiene l'IP problematico.
Per disattivare l'attivazione del blocco per singole sottoreti, è stato introdotto il parametro PerSourcePenaltyExemptList, che potrebbe risultare utile in situazioni che portano a falsi positivi, ad esempio quando ci sono accessi a un server SSH da una grande rete, le richieste di diversi utenti provengono dalla stessa IP a causa dell'uso di un translator di indirizzi o di un proxy.
Fonte: opennet.ru
