Az OpenSSH új funkcióval növeli a biztonságot

Az OpenSSH szigorítja a biztonságot egy új funkcióval, amelynek célja, hogy okos büntetésekkel megállítsa a támadókat.

Az OpenSSH, amelyet jelenleg az OpenBSD projekt részeként fejlesztenek, új konfigurációs lehetőségeket vezetett be az SSH démonja (sshd) számára, amelyek ígérik, hogy csökkentik a jogosulatlan hozzáférésre irányuló rosszindulatú kísérleteket.

A frissítést Damien Miller fejlesztő vezette, és két kulcsfontosságú funkciót tartalmaz: PerSourcePenalties és PerSourcePenaltyExemptList. Ezeket a kiegészítéseket arra tervezték, hogy finomítsák az sshd működését a gyanús viselkedésű ügyfelekkel szemben, miközben biztosítják, hogy a jogos felhasználók ne szenvedjenek indokolatlan hátrányt.

Az új PerSourcePenalties opció lehetővé teszi az sshd számára, hogy figyelje és reagáljon az SSH hitelesítési folyamat során észlelt rendellenes viselkedésre. Ha ez a funkció engedélyezve van, az sshd nyomon követi a gyermek elő-hitelesítési munkamenet folyamatainak kilépési státuszait, hogy azonosítsa a potenciálisan káros tevékenységeket.

Ilyen tevékenységek példái lehetnek az ismétlődő sikertelen bejelentkezési kísérletek, amelyek jelszófeltörési kísérletre utalhatnak, vagy olyan műveletek, amelyek az sshd összeomlását okozzák, ami valószínűleg egy kihasználási próbálkozás jele.

Ebben a rendszerben, ha egy kliens olyan viselkedést mutat, amely problémás kilépési státuszhoz vezet, az sshd ideiglenes büntetést szab ki a kliens IP-címére, blokkolva a további kapcsolatokat erről a címről és a hálózati blokkban lévő többi címről egy meghatározott időtartamra.

Ez a büntetési időszak ismétlődő jogsértések esetén növekedhet, egészen egy maximális küszöbig. Fontos, hogy ez a funkció úgy van kialakítva, hogy a jogsértések súlyossága és gyakorisága alapján igazítsa a válaszát, így dinamikus eszközzé válik a hálózati támadások ellen.

Ezzel szemben a PerSourcePenaltyExemptList lehetővé teszi az adminisztrátorok számára, hogy olyan IP-címeket vagy tartományokat jelöljenek meg, amelyek mentesülnek ezektől a büntetésektől, így biztosítva, hogy a megbízható ügyfelek ne találkozzanak kapcsolódási problémákkal a szigorú biztonsági intézkedések miatt. Ez különösen hasznos azoknál a címeknél, amelyek gyakran váltanak ki téves pozitív eredményeket érzékenyebb környezetekben.

Miller optimizmust fejezett ki az új funkciókkal kapcsolatban, megjegyezve, hogy „jelentősen megnehezítik majd a támadók számára, hogy gyenge vagy könnyen kitalálható jelszavakkal rendelkező fiókokat találjanak, vagy kihasználják az sshd-ben lévő hibákat.”

Azt is jelezte, hogy bár a PerSourcePenalties funkció jelenleg alapértelmezés szerint ki van kapcsolva, valószínűleg a jövőbeli frissítésekben automatikusan engedélyezve lesz.

Sokan talán az új funkciót a népszerű Fail2Ban eszközhöz hasonlítják, és igazuk van; funkcionalitásuk valóban eléggé hasonló. De itt egy natív megvalósításról beszélünk, ami közvetlenül az sshd-be van integrálva, ami fantasztikus.

Fontos azonban megjegyezni, hogy ez nem jelenti azt, hogy a Fail2Ban már ne lenne hasznos. Számos extra funkcióval rendelkezik, például a különböző hitelesítési típusok kezelése és a felhasználók különböző módon történő kezelése, ezért ne siess a program nyugdíjazásával, amikor az új funkció elérhetővé válik az OpenSSH implementációdban.

További információkért látogasson el a bejelentéshez az OpenBSD Journalban.