OpenSSH Meningkatkan Keselamatan dengan Ciri Baharu

OpenSSH memperketat keselamatan dengan ciri baru yang bertujuan untuk menghentikan penyerang dengan penalti pintar.

OpenSSH, yang kini dibangunkan sebagai sebahagian daripada projek OpenBSD, telah memperkenalkan pilihan konfigurasi baru untuk daemon SSHnya (sshd), yang menjanjikan untuk mengurangkan percubaan berniat jahat bagi akses tanpa kebenaran.

Kemas kini ini, diketuai oleh pembangun Damien Miller, merangkumi dua ciri utama: PerSourcePenalties dan PerSourcePenaltyExemptList. Penambahan ini direka untuk memperhalusi cara sshd menangani tingkah laku mencurigakan daripada klien sambil memastikan pengguna sah tidak terjejas secara tidak wajar.

Pilihan baru PerSourcePenalties membolehkan sshd memantau dan bertindak balas terhadap tingkah laku luar biasa yang dikesan semasa proses pengesahan SSH. Apabila ciri ini diaktifkan, sshd menjejaki status keluar proses sesi pra-pengesahan anaknya untuk mengenal pasti aktiviti yang berpotensi berbahaya.

Contoh aktiviti sedemikian termasuk percubaan log masuk yang berulang kali gagal, yang mungkin menunjukkan percubaan untuk meneka kata laluan, atau tindakan yang menyebabkan sshd terhenti, yang mungkin menunjukkan usaha mengeksploitasi.

Di bawah sistem ini, jika seorang pelanggan menunjukkan tingkah laku yang membawa kepada status keluar yang bermasalah, sshd akan mengenakan penalti sementara ke atas alamat IP pelanggan tersebut, menyekat sambungan lanjut dari alamat ini dan yang lain dalam blok rangkaian yang sama untuk tempoh tertentu.

Tempoh penalti ini boleh meningkat dengan kesalahan berulang, sehingga ke had maksimum. Yang penting, ciri ini direka untuk menyesuaikan tindak balasnya berdasarkan keterukan dan kekerapan kesalahan, menjadikannya alat dinamik terhadap serangan rangkaian.

Sebaliknya, PerSourcePenaltyExemptList membolehkan pentadbir untuk menetapkan alamat IP atau julat yang dikecualikan daripada penalti ini, memastikan pelanggan yang dipercayai tidak menghadapi masalah sambungan kerana langkah keselamatan yang ketat. Ini amat berguna untuk alamat yang mungkin sering mencetuskan positif palsu dalam persekitaran yang lebih sensitif.

Miller menyatakan optimis tentang ciri-ciri baharu itu, sambil menyatakan bahawa ia "akan menjadikannya lebih sukar secara signifikan bagi penyerang untuk mencari akaun dengan kata laluan yang lemah atau mudah diteka atau mengeksploitasi pepijat dalam sshd itu sendiri. "

Dia juga menyatakan bahawa walaupun ciri PerSourcePenalties kini dimatikan secara lalai, ia kemungkinan akan diaktifkan secara automatik dalam kemas kini masa depan.

Ramai di antara anda mungkin sedang membandingkan ciri baru ini dengan alat popular Fail2Ban, dan anda betul; mereka agak serupa dari segi fungsi. Tetapi yang kami bincangkan adalah pelaksanaan asli fungsi ini terus ke dalam sshd, yang sangat hebat.

Walau bagaimanapun, penting untuk diperhatikan bahawa ini tidak bermakna Fail2Ban tidak berguna lagi. Ia mempunyai banyak ciri tambahan, seperti mengurus pelbagai jenis pengesahan dan melayan pengguna yang berbeza dengan cara tertentu, jadi jangan terburu-buru untuk menghentikannya apabila ciri baharu tersedia dalam pelaksanaan OpenSSH anda.

Untuk maklumat lanjut, lawati pengumuman dalam Jurnal OpenBSD.