OpenSSH melhora a segurança com novo recurso
O OpenSSH reforça a segurança com um novo recurso que visa impedir atacantes em sua trajetória com penalidades inteligentes.
OpenSSH, atualmente desenvolvido como parte do projeto OpenBSD, introduziu novas opções de configuração para seu daemon SSH (sshd), que prometem mitigar tentativas maliciosas de acesso não autorizado.
A atualização, liderada pelo desenvolvedor Damien Miller, incorpora dois recursos principais: PerSourcePenalties e PerSourcePenaltyExemptList. Essas adições foram projetadas para aprimorar a forma como o sshd lida com comportamentos suspeitos de clientes, garantindo que usuários legítimos não sejam impactados indevidamente.
A nova opção PerSourcePenalties permite que o sshd monitore e responda a comportamentos anormais detectados durante o processo de autenticação SSH. Quando esse recurso está habilitado, o sshd acompanha os status de saída de seus processos filhos de pré-autenticação para identificar atividades potencialmente nocivas.
Exemplos de tais atividades incluem tentativas repetidas de login falhadas, que podem sugerir uma tentativa de adivinhar senhas, ou ações que fazem o sshd falhar, possivelmente indicando um esforço de exploração.
Sob este sistema, se um cliente apresentar um comportamento que leve a um status de saída problemático, o sshd impõe uma penalidade temporária ao endereço IP do cliente, bloqueando novas conexões desse endereço e de outros dentro do mesmo bloco de rede por uma duração especificada.
Esse período de penalidade pode aumentar com infrações repetidas, até um limite máximo. É importante destacar que esse recurso foi projetado para adaptar sua resposta com base na gravidade e na frequência das infrações, tornando-se uma ferramenta dinâmica contra ataques à rede.
Por outro lado, o PerSourcePenaltyExemptList permite que os administradores especifiquem endereços IP ou faixas que estão isentos dessas penalidades, garantindo que clientes confiáveis não enfrentem problemas de conexão devido a medidas de segurança rigorosas. Isso é particularmente útil para endereços que podem frequentemente gerar falsos positivos em ambientes mais sensíveis.
Miller expressou otimismo em relação aos novos recursos, observando que eles “tornarão significativamente mais difícil para os atacantes encontrarem contas com senhas fracas ou fáceis de adivinhar ou explorarem falhas no próprio sshd.”
Ele também indicou que, embora o recurso PerSourcePenalties esteja atualmente desativado por padrão, provavelmente será ativado automaticamente em atualizações futuras.
Muitos de vocês podem estar comparando o novo recurso com a popular ferramenta Fail2Ban, e vocês estão certos; eles são bastante semelhantes em termos de funcionalidade. Mas estamos falando de uma implementação nativa dessa funcionalidade diretamente no sshd, o que é fantástico.
No entanto, é importante notar que isso não significa que o Fail2Ban deixou de ser útil. Ele possui muitos recursos extras, como gerenciar vários tipos de autenticação e tratar diferentes usuários de maneiras específicas, então não se apresse em aposentá-lo quando o novo recurso estiver disponível na sua implementação do OpenSSH.
Para mais informações, visite o anúncio no OpenBSD Journal.