OpenSSH parantaa turvallisuutta uudella ominaisuudella

OpenSSH kiristää turvallisuutta uudella ominaisuudella, jonka tarkoituksena on pysäyttää hyökkääjät älykkäillä rangaistuksilla.

OpenSSH, joka on tällä hetkellä kehitteillä osana OpenBSD-projektia, on ottanut käyttöön uusia kokoonpanoasetuksia SSH-daemonilleen (sshd), joiden tarkoituksena on vähentää luvattomia pääsyyrityksiä.

Päivitystä, jota johtaa kehittäjä Damien Miller, sisältää kaksi keskeistä ominaisuutta: PerSourcePenalties ja PerSourcePenaltyExemptList. Näiden lisäysten tarkoituksena on hienosäätää sshd:n tapaa käsitellä epäilyttävää käyttäytymistä asiakkailta samalla varmistaen, ettei laillisia käyttäjiä kohtaan kohdistu tarpeetonta haittaa.

Uusi PerSourcePenalties-asetus mahdollistaa sshd:n seurata ja reagoida poikkeavaan käyttäytymiseen, joka havaitaan SSH-todennusprosessin aikana. Kun tämä ominaisuus on käytössä, sshd seuraa lapsiprosessiensa esitodennusistuntojen poistumiskoodeja tunnistaakseen mahdollisesti haitallisia toimintoja.

Esimerkkejä tällaisista toiminnoista ovat toistuvat epäonnistuneet kirjautumisyritykset, jotka voivat viitata salasanojen arvaamiseen, tai toiminnot, jotka aiheuttavat sshd:n kaatumisen, mikä voi viitata hyökkäysyritykseen.

Tässä järjestelmässä, jos asiakas näyttää käyttäytymistä, joka johtaa ongelmalliseen poistumistilaan, sshd asettaa väliaikaisen rangaistuksen asiakkaan IP-osoitteelle estäen lisäyhteydet tästä osoitteesta sekä muista saman verkkoalueen osoitteista määräajaksi.

Tätä rangaistusjaksoa voidaan pidentää toistuvien rikkomusten myötä, enimmäisrajaan asti. On tärkeää, että tämä ominaisuus on suunniteltu mukauttamaan vastauksensa rikkomusten vakavuuden ja tiheyden mukaan, tehden siitä dynaamisen työkalun verkkohyökkäyksiä vastaan.

Toisaalta PerSourcePenaltyExemptList antaa järjestelmänvalvojille mahdollisuuden määrittää IP-osoitteita tai -alueita, jotka ovat vapautettuja näistä rangaistuksista, mikä varmistaa, että luotettavat asiakkaat eivät kohtaa yhteysongelmia tiukkojen tietoturvatoimien vuoksi. Tämä on erityisen hyödyllistä osoitteille, jotka saattavat usein aiheuttaa vääräjä ilmoituksia herkemmissä ympäristöissä.

Miller ilmaisi optimismia uusien ominaisuuksien suhteen ja totesi, että ne "tekevät hyökkääjille huomattavasti vaikeammaksi löytää tilejä, joilla on heikot tai arvattavissa olevat salasanat, tai hyödyntää vikoja sshd:ssä itsessään."

Hän totesi myös, että vaikka PerSourcePenalties-ominaisuus on tällä hetkellä oletuksena pois päältä, se todennäköisesti otetaan automaattisesti käyttöön tulevissa päivityksissä.

Monet teistä saattavat verrata uutta ominaisuutta suositun Fail2Ban-työkalun kanssa, ja olette oikeassa; ne ovat toiminnallisesti melko samanlaisia. Mutta puhumme natiivista toteutuksesta tästä toiminnallisuudesta suoraan sshd:hen, mikä on mahtavaa.

On kuitenkin tärkeää huomata, että tämä ei tarkoita, etteikö Fail2Ban olisi enää hyödyllinen. Siinä on monia lisäominaisuuksia, kuten erilaisten todennustapojen hallinta ja eri käyttäjien erityiskohtelu, joten älä kiirehdi poistamaan sitä käytöstä, kun uusi ominaisuus tulee saataville OpenSSH-toteutuksessasi.

Lisätietoja varten käy ilmoituksessa OpenBSD Journalissa.