De codebasis van OpenSSH heeft ingebouwde bescherming tegen geautomatiseerde aanvallen voor het raden van wachtwoorden toegevoegd, waarbij bots proberen het gebruikerswachtwoord te raden door verschillende standaardcombinaties te doorlopen. Om dergelijke aanvallen te blokkeren, is de parameter PerSourcePenalties toegevoegd aan het configuratiebestand sshd_config, waarmee de blokkeringdrempel kan worden bepaald die in werking treedt bij een groot aantal mislukte verbindingspogingen vanaf Ć©Ć©n IP-adres. Dit nieuwe beveiligingsmechanisme zal deel uitmaken van de volgende versie van OpenSSH en standaard worden ingeschakeld in OpenBSD 7.6.
Bij het inschakelen van de bescherming begint het sshd-proces de status van voltooide subprocessen te volgen, waarbij situaties worden vastgesteld waarin de authenticatie is mislukt of het proces abrupt is beƫindigd door een storing. Een hoge intensiteit van mislukkingen bij authenticatie duidt op pogingen tot wachtwoordgissing, terwijl een plotselinge beƫindiging kan wijzen op pogingen om kwetsbaarheden in sshd te exploiteren.
Met de parameter PerSourcePenalties kan de minimale drempel voor abnormale gebeurtenissen worden ingesteld; zodra deze wordt overschreden, wordt het IP-adres waarvoor verdachte activiteit is vastgelegd, geblokkeerd. Met de parameter PerSourceNetBlockSize kan bovendien een subnetmasker worden gedefinieerd om het volledige subnet te blokkeren waartoe het problematische IP behoort.
Om blokkering voor bepaalde subnets uit te schakelen, is de parameter PerSourcePenaltyExemptList voorgesteld, die nuttig kan zijn in situaties die tot valse positieven leiden, bijvoorbeeld wanneer aanvragen van verschillende gebruikers naar de SSH-server komen vanaf dezelfde IP-adressen vanwege het gebruik van adresvertalers of proxies.
Bron: opennet.ru
