I kodbasen för OpenSSH har inbyggt skydd mot automatiserade angrepp för att knÀcka lösenord, dÀr bots försöker gissa anvÀndarens lösenord genom att gÄ igenom olika typiska kombinationer. För att blockera sÄdana angrepp har en parameter lagts till i konfigurationsfilen sshd_config, PerSourcePenalties, som gör det möjligt att stÀlla in en blockeringströskel som utlöses vid ett stort antal misslyckade anslutningsförsök frÄn en och samma IP-adress. Denna nya skyddsmekanism kommer att ingÄ i nÀsta version av OpenSSH och aktiveras som standard i OpenBSD 7.6.
NÀr skyddet aktiveras börjar sshd-processen att spÄra avslutningsstatusen för barnprocesser, vilket gör det möjligt att identifiera situationer dÀr autentisering misslyckats eller dÀr processen avbrutits pÄ grund av ett fel. En hög frekvens av autentiseringsfel indikerar att det görs försök att knÀcka lösenord, och ett ovÀntat avslut kan tyda pÄ försök att utnyttja sÄrbarheter i sshd.
Genom parametern PerSourcePenalties anges en minimaltröskel för onormala hÀndelser, och nÀr denna överskrids kommer den IP-adress som haft misstÀnkt aktivitet att blockeras. Med hjÀlp av parametern PerSourceNetBlockSize kan man dessutom ange en nÀtmask för att blockera hela nÀtverket som den problematiska IP-adressen tillhör.
För att stÀnga av blockeringen för specifika nÀtverk har en parameter, PerSourcePenaltyExemptList, införts. Detta kan vara anvÀndbart i situationer som leder till falska larm, till exempel nÀr SSH-servern fÄr förfrÄgningar frÄn ett stort nÀtverk dÀr olika anvÀndares förfrÄgningar kommer frÄn samma IP pÄ grund av anvÀndning av adressöversÀttning eller proxy.
KĂ€lla: opennet.ru
