OpenSSH zvyšuje bezpečnosť novou funkciou

OpenSSH sprísňuje bezpečnosť novou funkciou, ktorá má za cieľ zastaviť útočníkov na mieste pomocou inteligentných sankcií.

OpenSSH, ktorý je v súčasnosti vyvíjaný ako súčasť projektu OpenBSD, predstavil nové konfiguračné možnosti pre svoj SSH démon (sshd), ktoré sľubujú zmierniť škodlivé pokusy o neoprávnený prístup.

Aktualizácia, ktorú viedol vývojár Damien Miller, obsahuje dve hlavné funkcie: PerSourcePenalties a PerSourcePenaltyExemptList. Tieto doplnky sú navrhnuté tak, aby zlepšili spôsob, akým sshd spracováva podozrivé správanie klientov, pričom zabezpečujú, že legitimní používatelia nebudú nepodstatne ovplyvnení.

Nová možnosť PerSourcePenalties umožňuje sshd sledovať a reagovať na abnormálne správanie zistené počas procesu autentifikácie SSH. Keď je táto funkcia povolená, sshd sleduje stavové kódy ukončenia svojich podradených procesov predautentifikačnej relácie, aby identifikoval potenciálne škodlivé aktivity.

Príklady takýchto aktivít zahŕňajú opakované neúspešné pokusy o prihlásenie, ktoré môžu naznačovať pokus o uhádnutie hesiel, alebo akcie, ktoré spôsobia zlyhanie sshd, čo môže naznačovať pokus o využitie zraniteľnosti.

V rámci tohto systému, ak klient prejaví správanie, ktoré vedie k problémovému ukončeniu, sshd udelí dočasný trest na IP adresu klienta, čím zablokuje ďalšie pripojenia z tejto adresy a z ďalších adries v rovnakom sieťovom bloku na stanovenú dobu.

Táto doba trestu sa môže pri opakovaných priestupkoch zvyšovať až do maximálneho limitu. Dôležité je, že táto funkcia je navrhnutá tak, aby prispôsobovala svoju reakciu na základe závažnosti a frekvencie priestupkov, čím sa stáva dynamickým nástrojom proti sieťovým útokom.

Naopak, PerSourcePenaltyExemptList umožňuje administrátorom určiť IP adresy alebo rozsahy, ktoré sú od týchto sankcií oslobodené, čím sa zabezpečí, že dôveryhodní klienti nebudú mať problémy s pripojením kvôli prísnym bezpečnostným opatreniam. To je obzvlášť užitočné pre adresy, ktoré môžu často spúšťať falošné poplachy v citlivejších prostrediach.

Miller vyjadril optimizmus ohľadom nových funkcií a poznamenal, že „zabezpečia, že pre útočníkov bude oveľa ťažšie nájsť účty s slabými alebo uhádnuteľnými heslami alebo zneužiť chyby priamo v sshd.“

Uviedol tiež, že zatiaľ čo funkcia PerSourcePenalties je momentálne predvolene vypnutá, pravdepodobne bude v budúcich aktualizáciách automaticky zapnutá.

Mnohí z vás môžu nové funkcie porovnávať s populárnym nástrojom Fail2Ban, a máte pravdu; sú si funkčne dosť podobné. Ale hovoríme o natívnej implementácii tejto funkcionality priamo do sshd, čo je fantastické.

Je však dôležité poznamenať, že to neznamená, že Fail2Ban už nie je užitočný. Má mnoho ďalších funkcií, ako napríklad spravovanie rôznych typov autentifikácie a špecifický prístup k rôznym používateľom, takže sa neponáhľajte s jeho vyradením, keď bude nová funkcia dostupná vo vašej implementácii OpenSSH.

Pre viac informácií navštívte oznámenie v časopise OpenBSD Journal.