OpenSSH migliora la sicurezza con una nuova funzione

OpenSSH rafforza la sicurezza con una nuova funzione che punta a fermare gli aggressori sul nascere con penalità intelligenti.

OpenSSH, attualmente sviluppato come parte del progetto OpenBSD, ha introdotto nuove opzioni di configurazione per il suo demone SSH (sshd), che promettono di mitigare i tentativi dannosi di accesso non autorizzato.

L'aggiornamento, guidato dallo sviluppatore Damien Miller, incorpora due funzionalità chiave: PerSourcePenalties e PerSourcePenaltyExemptList. Queste aggiunte sono progettate per perfezionare il modo in cui sshd gestisce comportamenti sospetti da parte dei client garantendo al contempo che gli utenti legittimi non siano indebitamente colpiti.

La nuova opzione PerSourcePenalties consente a sshd di monitorare e rispondere a comportamenti anomali rilevati durante il processo di autenticazione SSH. Quando questa funzione è attivata, sshd tiene traccia degli stati di uscita dei suoi processi figli della sessione pre-auth per identificare attività potenzialmente dannose.

Esempi di tali attività includono ripetuti tentativi di accesso falliti, che potrebbero suggerire un tentativo di indovinare le password, o azioni che causano il crash di sshd, indicando possibilmente un tentativo di sfruttamento.

In questo sistema, se un cliente mostra un comportamento che porta a uno stato di uscita problematico, sshd impone una penalità temporanea all'indirizzo IP del cliente, bloccando ulteriori connessioni da questo indirizzo e da altri all'interno dello stesso blocco di rete per una durata specificata.

Questo periodo di penalità può aumentare con le ripetute infrazioni, fino a un limite massimo. È importante sottolineare che questa funzione è progettata per adattare la sua risposta in base alla gravità e alla frequenza delle infrazioni, rendendola uno strumento dinamico contro gli attacchi alla rete.

Al contrario, il PerSourcePenaltyExemptList consente agli amministratori di specificare indirizzi IP o intervalli esenti da queste penalità, garantendo che i client affidabili non abbiano problemi di connessione a causa di misure di sicurezza restrittive. Questo è particolarmente utile per gli indirizzi che possono attivare frequentemente falsi positivi in ambienti più sensibili.

Miller ha espresso ottimismo riguardo alle nuove funzionalità, sottolineando che esse «renderanno significativamente più difficile per gli attaccanti trovare account con password deboli o intuibili o sfruttare bug nello stesso sshd».

Ha anche indicato che, sebbene la funzione PerSourcePenalties sia attualmente disattivata per impostazione predefinita, sarà probabilmente abilitata automaticamente negli aggiornamenti futuri.

Molti di voi potrebbero confrontare la nuova funzionalità con il popolare strumento Fail2Ban, e avete ragione; sono abbastanza simili dal punto di vista funzionale. Ma stiamo parlando di un'implementazione nativa di questa funzionalità direttamente in sshd, il che è fantastico.

Tuttavia, è importante notare che questo non significa che Fail2Ban non sia più utile. Ha molte funzionalità extra, come la gestione di diversi tipi di autenticazione e il trattamento specifico di diversi utenti, quindi non affrettarti a dismetterlo quando la nuova funzione sarà disponibile nella tua implementazione di OpenSSH.

Per ulteriori informazioni, visita l'annuncio sul Journal di OpenBSD.