Në kodin bazë të OpenSSH është shtuar mbrojtja e integruar nga sulmet automatizuar për të guessuar fjalëkalimet, gjatë të cilave robotët përpiqen të gjejnë fjalëkalimin e përdoruesit duke provuar kombinime të ndryshme. Për të bllokuar këto sulme, në skedarin e konfigurimit sshd_config është shtuar parametri PerSourcePenalties, i cili lejon përcaktimin e pragut të bllokimit që aktivizohet kur ka një numër të madh tentativash të dështuar për lidhje nga një IP. Mekanizmi i ri i mbrojtjes do të përfshihet në versionin tjetër të OpenSSH dhe do të aktivizohet si parazgjedhje në OpenBSD 7.6.
Kur aktivizohet mbrojtja, procesi sshd fillon të ndjekë statusin e përfundimit të proceseve fëmijë, duke identifikuar situatat kur autentikimi dështon ose kur procesi përfundon në mënyrë të papritur për shkak të një dështimi. Intensiteti i lartë i dështimeve gjatë autentikimit tregon për përpjekjet për të guessuar fjalëkalimet, dhe përfundimi i papritur mund të tregojë për përpjekjet për të shfrytëzuar dobësitë në sshd.
Përmes parametrin PerSourcePenalties, vendoset pragu minimal i ngjarjeve anormale, pas kalimit të të cilit IP-ja, për të cilën është regjistruar aktivitet i dyshimtë, do të bllokohet. Me ndihmën e parametrin PerSourceNetBlockSize gjithashtu mund të përcaktohet një maskë nënrrjeti për bllokimin e tërë nënrrjetit, ku përket IP-ja problematike.
Për të ndaluar aktivizimin e bllokimit për nënrrjete të veçanta, është propozuar parametri PerSourcePenaltyExemptList, i cili mund të jetë i dobishëm në situatat që çojnë në aktivizime false, për shembull, kur kontaktohet SSH-serveri nga një rrjet i madh, kërkesat e përdoruesve të ndryshëm nga i cili vijnë nga IP të njëjta për shkak të përdorimit të translatorëve të adresave ose proxy-t.
Burimi: opennet.ru
