Το OpenSSH ενισχύει την ασφάλεια με νέα λειτουργία

Το OpenSSH ενισχύει την ασφάλεια με μια νέα δυνατότητα που στοχεύει να σταματήσει τους επιτιθέμενους επιτόπου με έξυπνες κυρώσεις.

Το OpenSSH, που αναπτύσσεται επί του παρόντος ως μέρος του έργου OpenBSD, έχει εισαγάγει νέες επιλογές ρύθμισης για τον SSH daemon του (sshd), οι οποίες υπόσχονται να μετριάσουν κακόβουλες προσπάθειες μη εξουσιοδοτημένης πρόσβασης.

Η ενημέρωση, υπό την καθοδήγηση του προγραμματιστή Damien Miller, ενσωματώνει δύο βασικά χαρακτηριστικά: PerSourcePenalties και PerSourcePenaltyExemptList. Αυτές οι προσθήκες έχουν σχεδιαστεί για να βελτιώσουν τον τρόπο με τον οποίο το sshd χειρίζεται ύποπτη συμπεριφορά από πελάτες, διασφαλίζοντας παράλληλα ότι οι νόμιμοι χρήστες δεν επηρεάζονται αδικαιολόγητα.

Η νέα επιλογή PerSourcePenalties επιτρέπει στο sshd να παρακολουθεί και να ανταποκρίνεται σε ανώμαλη συμπεριφορά που εντοπίζεται κατά τη διαδικασία πιστοποίησης SSH. Όταν αυτή η λειτουργία είναι ενεργοποιημένη, το sshd παρακολουθεί τις καταστάσεις εξόδου των παιδικών διαδικασιών προ-πιστοποίησης για να εντοπίσει πιθανές επιβλαβείς ενέργειες.

Παραδείγματα τέτοιων δραστηριοτήτων περιλαμβάνουν επανειλημμένες αποτυχημένες προσπάθειες σύνδεσης, που μπορεί να υποδηλώνουν προσπάθεια μαντεψίματος κωδικών πρόσβασης, ή ενέργειες που προκαλούν τη συντριβή του sshd, ενδεχομένως υποδεικνύοντας μια προσπάθεια εκμετάλλευσης.

Με αυτό το σύστημα, αν ένας πελάτης εμφανίσει συμπεριφορά που οδηγεί σε προβληματική κατάσταση εξόδου, το sshd επιβάλλει προσωρινό πρόστιμο στη διεύθυνση IP του πελάτη, αποκλείοντας περαιτέρω συνδέσεις από αυτή τη διεύθυνση και άλλες μέσα στο ίδιο μπλοκ δικτύου για καθορισμένη χρονική διάρκεια.

Η περίοδος ποινής αυτή μπορεί να αυξηθεί με επαναλαμβανόμενες παραβάσεις, μέχρι ένα ανώτατο όριο. Σημαντικό είναι ότι αυτή η λειτουργία έχει σχεδιαστεί να προσαρμόζει την αντίδρασή της ανάλογα με τη σοβαρότητα και τη συχνότητα των παραβάσεων, καθιστώντας την ένα δυναμικό εργαλείο κατά των επιθέσεων στο δίκτυο.

Αντίθετα, η PerSourcePenaltyExemptList επιτρέπει στους διαχειριστές να καθορίζουν διευθύνσεις IP ή εύρη που εξαιρούνται από αυτές τις ποινές, διασφαλίζοντας ότι οι αξιόπιστοι πελάτες δεν αντιμετωπίζουν προβλήματα σύνδεσης λόγω αυστηρών μέτρων ασφαλείας. Αυτό είναι ιδιαίτερα χρήσιμο για διευθύνσεις που ενδέχεται να προκαλούν συχνά ψευδείς θετικές ενδείξεις σε πιο ευαίσθητα περιβάλλοντα.

Ο Μίλερ εξέφρασε αισιοδοξία σχετικά με τα νέα χαρακτηριστικά, σημειώνοντας ότι αυτά «θα καταστήσουν σημαντικά πιο δύσκολο για τους επιτιθέμενους να βρουν λογαριασμούς με αδύναμους ή προβλέψιμους κωδικούς ή να εκμεταλλευτούν σφάλματα στο ίδιο το sshd».

Δήλωσε επίσης ότι ενώ η λειτουργία PerSourcePenalties είναι αυτήν τη στιγμή απενεργοποιημένη από προεπιλογή, είναι πιθανό να ενεργοποιηθεί αυτόματα σε μελλοντικές ενημερώσεις.

Πολλοί από εσάς ενδέχεται να συγκρίνετε τη νέα λειτουργία με το δημοφιλές εργαλείο Fail2Ban, και έχετε δίκιο· είναι αρκετά παρόμοια λειτουργικά. Αλλά μιλάμε για μια εγγενή υλοποίηση αυτής της λειτουργικότητας απευθείας στο sshd, που είναι φανταστική.

Ωστόσο, είναι σημαντικό να σημειωθεί ότι αυτό δεν σημαίνει ότι το Fail2Ban δεν είναι πλέον χρήσιμο. Διαθέτει πολλές επιπλέον δυνατότητες, όπως η διαχείριση διαφόρων τύπων επαλήθευσης ταυτότητας και η ειδική μεταχείριση διαφορετικών χρηστών, οπότε μην βιαστείτε να το αποσύρετε όταν η νέα δυνατότητα γίνει διαθέσιμη στην υλοποίηση του OpenSSH σας.

Για περισσότερες πληροφορίες, επισκεφθείτε την ανακοίνωση στο περιοδικό OpenBSD.