OpenSSH melhora a segurança com nova funcionalidade
O OpenSSH reforça a segurança com uma nova funcionalidade que pretende parar os atacantes em pleno ato com penalizações inteligentes.
O OpenSSH, atualmente desenvolvido como parte do projeto OpenBSD, introduziu novas opções de configuração para o seu daemon SSH (sshd), que prometem mitigar tentativas maliciosas de acesso não autorizado.
A atualização, liderada pelo programador Damien Miller, incorpora duas funcionalidades principais: PerSourcePenalties e PerSourcePenaltyExemptList. Estas adições foram concebidas para aprimorar a forma como o sshd lida com comportamentos suspeitos por parte dos clientes, garantindo ao mesmo tempo que os utilizadores legítimos não sejam indevidamente afetados.
A nova opção PerSourcePenalties permite que o sshd monitorize e responda a comportamentos anormais detectados durante o processo de autenticação SSH. Quando esta funcionalidade está activada, o sshd acompanha os estados de saída dos seus processos filhos de sessão pré-autenticação para identificar atividades potencialmente prejudiciais.
Exemplos de tais atividades incluem tentativas repetidas de login falhadas, que podem sugerir uma tentativa de adivinhar senhas, ou ações que provocam a falha do sshd, possivelmente indicando uma tentativa de exploração.
Neste sistema, se um cliente apresentar um comportamento que leve a um estado de saída problemático, o sshd impõe uma penalização temporária ao endereço IP do cliente, bloqueando novas ligações a partir deste endereço e de outros dentro do mesmo bloco de rede durante uma duração especificada.
Este período de penalização pode aumentar com infrações repetidas, até um limite máximo. É importante notar que esta funcionalidade foi concebida para adaptar a sua resposta com base na gravidade e frequência das infrações, tornando-se uma ferramenta dinâmica contra ataques à rede.
Por outro lado, o PerSourcePenaltyExemptList permite que os administradores especifiquem endereços IP ou intervalos que estão isentos destas penalizações, garantindo que clientes confiáveis não enfrentem problemas de ligação devido a medidas de segurança rigorosas. Isto é particularmente útil para endereços que podem frequentemente gerar falsos positivos em ambientes mais sensíveis.
Miller expressou otimismo em relação às novas funcionalidades, observando que elas «tornarão significativamente mais difícil para os atacantes encontrar contas com palavras-passe fracas ou previsíveis ou explorar falhas no próprio sshd.»
Ele também indicou que, embora a funcionalidade PerSourcePenalties esteja atualmente desligada por padrão, é provável que venha a ser ativada automaticamente em atualizações futuras.
Muitos de vocês podem estar a comparar a nova funcionalidade com a popular ferramenta Fail2Ban, e estão certos; elas são bastante semelhantes em termos de funcionalidade. Mas estamos a falar de uma implementação nativa desta funcionalidade diretamente no sshd, o que é fantástico.
No entanto, é importante notar que isso não significa que o Fail2Ban deixou de ser útil. Ele tem muitas funcionalidades adicionais, como gerir vários tipos de autenticação e tratar diferentes utilizadores de maneiras específicas, por isso não se precipite a desativá-lo quando a nova funcionalidade estiver disponível na sua implementação do OpenSSH.
Para mais informações, visite o anúncio no OpenBSD Journal.