OpenSSH เพิ่มความปลอดภัยด้วยคุณสมบัติใหม่

OpenSSH เพิ่มความเข้มงวดด้านความปลอดภัยด้วยคุณสมบัติใหม่ที่มุ่งหยุดผู้โจมตีด้วยการลงโทษอัจฉริยะ

OpenSSH ซึ่งปัจจุบันพัฒนาขึ้นเป็นส่วนหนึ่งของโครงการ OpenBSD ได้แนะนำตัวเลือกการกำหนดค่าใหม่สำหรับ SSH daemon (sshd) ของมัน ซึ่งสัญญาว่าจะช่วยลดความพยายามที่เป็นอันตรายในการเข้าถึงโดยไม่ได้รับอนุญาต

การอัปเดตนี้ นำโดยนักพัฒนาดาเมียน มิลเลอร์ ประกอบด้วยคุณสมบัติสำคัญสองอย่าง: PerSourcePenalties และ PerSourcePenaltyExemptList การเพิ่มเหล่านี้ถูกออกแบบมาเพื่อปรับปรุงวิธีที่ sshd จัดการพฤติกรรมที่น่าสงสัยจากลูกค้า พร้อมทั้งรับประกันว่าผู้ใช้ที่ถูกต้องจะไม่ถูกกระทบโดยไม่จำเป็น

ตัวเลือกใหม่ PerSourcePenalties ทำให้ sshd สามารถตรวจสอบและตอบสนองต่อพฤติกรรมที่ผิดปกติที่ตรวจพบในระหว่างกระบวนการยืนยันตัวตน SSH เมื่อเปิดใช้งานฟีเจอร์นี้ sshd จะติดตามสถานะการออกของกระบวนการเซสชันก่อนการยืนยันตัวตนของลูกเพื่อตรวจหากิจกรรมที่อาจเป็นอันตราย

ตัวอย่างของกิจกรรมดังกล่าว ได้แก่ การพยายามเข้าสู่ระบบหลายครั้งแล้วล้มเหลว ซึ่งอาจบ่งบอกถึงความพยายามในการเดารหัสผ่าน หรือการกระทำที่ทำให้ sshd หยุดทำงาน ซึ่งอาจบ่งบอกถึงความพยายามในการใช้ช่องโหว่

ภายใต้ระบบนี้ หากลูกค้าแสดงพฤติกรรมที่นำไปสู่สถานะการออกที่มีปัญหา sshd จะกำหนดโทษชั่วคราวกับที่อยู่ IP ของลูกค้า โดยการบล็อกการเชื่อมต่อเพิ่มเติมจากที่อยู่นี้และที่อยู่ภายในบล็อกเครือข่ายเดียวกันเป็นระยะเวลาที่กำหนด

ระยะเวลาการลงโทษนี้สามารถเพิ่มขึ้นได้หากมีการกระทำผิดซ้ำ ๆ จนถึงขีดจำกัดสูงสุด ที่สำคัญ ฟีเจอร์นี้ถูกออกแบบมาเพื่อปรับการตอบสนองตามความรุนแรงและความถี่ของการกระทำผิด ทำให้เป็นเครื่องมือที่ยืดหยุ่นในการต่อสู้กับการโจมตีเครือข่าย

ในทางกลับกัน PerSourcePenaltyExemptList อนุญาตให้ผู้ดูแลระบบระบุที่อยู่ IP หรือช่วงที่ได้รับยกเว้นจากการลงโทษเหล่านี้ เพื่อให้มั่นใจว่าลูกค้าที่เชื่อถือได้จะไม่ประสบปัญหาในการเชื่อมต่อเนื่องจากมาตรการรักษาความปลอดภัยที่เข้มงวด ซึ่งมีประโยชน์โดยเฉพาะอย่างยิ่งสำหรับที่อยู่ที่อาจทำให้เกิดผลบวกเทียบบ่อยในสภาพแวดล้อมที่มีความอ่อนไหวมากกว่า

มิลเลอร์แสดงความมองโลกในแง่ดีเกี่ยวกับฟีเจอร์ใหม่ พร้อมระบุว่า "มันจะทำให้ผู้โจมตีหาบัญชีที่มีรหัสผ่านอ่อนหรือเดาได้ยากขึ้นอย่างมาก หรือใช้ประโยชน์จากบั๊กใน sshd เอง"

เขายังระบุด้วยว่า ในขณะที่ฟีเจอร์ PerSourcePenalties ถูกปิดค่าเริ่มต้นอยู่ในปัจจุบัน แต่มีแนวโน้มว่าจะถูกเปิดใช้งานโดยอัตโนมัติในการอัปเดตในอนาคต

หลายคนอาจจะกำลังเปรียบเทียบฟีเจอร์ใหม่นี้กับเครื่องมือยอดนิยมอย่าง Fail2Ban และคุณพูดถูก; ทั้งสองมีความสามารถใกล้เคียงกันมาก แต่สิ่งที่เรากำลังพูดถึงคือการนำฟังก์ชันนี้มารวมไว้โดยตรงใน sshd ซึ่งเยี่ยมมาก

อย่างไรก็ตาม สิ่งสำคัญที่ควรทราบคือ นี่ไม่ได้หมายความว่า Fail2Ban จะไม่มีประโยชน์อีกต่อไป มันมีคุณสมบัติเพิ่มเติมมากมาย เช่น การจัดการการยืนยันตัวตนประเภทต่าง ๆ และการจัดการผู้ใช้แต่ละคนในรูปแบบเฉพาะ ดังนั้นอย่าเพิ่งเลิกใช้มันเมื่อมีคุณสมบัติใหม่ใน OpenSSH ของคุณ

สำหรับข้อมูลเพิ่มเติม โปรดเยี่ยมชมประกาศในวารสาร OpenBSD