OpenSSH förbättrar säkerheten med ny funktion

OpenSSH stramar åt säkerheten med en ny funktion som syftar till att stoppa angripare på fläcken med smarta straff.

OpenSSH, som för närvarande utvecklas som en del av OpenBSD-projektet, har introducerat nya konfigurationsalternativ för sin SSH-daemon (sshd), vilka lovar att motverka illvilliga försök till obehörig åtkomst.

Uppdateringen, som leds av utvecklaren Damien Miller, innehåller två nyckelfunktioner: PerSourcePenalties och PerSourcePenaltyExemptList. Dessa tillägg är utformade för att förfina hur sshd hanterar misstänkt beteende från klienter samtidigt som det säkerställs att legitima användare inte påverkas i onödan.

Det nya alternativet PerSourcePenalties gör det möjligt för sshd att övervaka och reagera på onormalt beteende som upptäcks under SSH-autentiseringsprocessen. När denna funktion är aktiverad följer sshd utgångsstatusen för sina barnprocesser i förautentiseringssessioner för att identifiera potentiellt skadliga aktiviteter.

Exempel på sådana aktiviteter inkluderar upprepade misslyckade inloggningsförsök, vilket kan tyda på ett försök att gissa lösenord, eller åtgärder som får sshd att krascha, vilket möjligen indikerar ett försök till exploatering.

Under detta system, om en klient uppvisar beteende som leder till ett problematiskt avslutsstatus, ålägger sshd ett tillfälligt straff på klientens IP-adress, vilket blockerar ytterligare anslutningar från denna adress och andra inom samma nätverksblock under en angiven tid.

Denna straffperiod kan öka vid upprepade överträdelser, upp till en maximal gräns. Viktigt är att denna funktion är utformad för att anpassa sitt svar baserat på överträdelsens allvar och frekvens, vilket gör den till ett dynamiskt verktyg mot nätverksattacker.

Omvänt tillåter PerSourcePenaltyExemptList administratörer att ange IP-adresser eller intervall som är undantagna från dessa påföljder, vilket säkerställer att betrodda klienter inte möter anslutningsproblem på grund av strikta säkerhetsåtgärder. Detta är särskilt användbart för adresser som ofta kan utlösa falska positiva i mer känsliga miljöer.

Miller uttryckte optimism om de nya funktionerna och påpekade att de "kommer att göra det betydligt svårare för angripare att hitta konton med svaga eller gissbara lösenord eller utnyttja buggar i sshd självt."

Han påpekade också att medan funktionen PerSourcePenalties för närvarande är avstängd som standard, kommer den sannolikt att aktiveras automatiskt i framtida uppdateringar.

Många av er kanske jämför den nya funktionen med det populära verktyget Fail2Ban, och ni har rätt; de är ganska lika funktionellt. Men vi pratar om en inbyggd implementation av denna funktionalitet direkt i sshd, vilket är fantastiskt.

Det är dock viktigt att notera att detta inte betyder att Fail2Ban inte längre är användbart. Det har många extra funktioner, som att hantera olika typer av autentisering och behandla olika användare på specifika sätt, så skynda inte med att avveckla det när den nya funktionen blir tillgänglig i din OpenSSH-implementation.

För mer information, besök meddelandet i OpenBSD Journal.