OpenSSH Meningkatkan Keamanan dengan Fitur Baru

OpenSSH memperkuat keamanan dengan fitur baru yang bertujuan menghentikan penyerang secara langsung dengan hukuman cerdas.

OpenSSH, yang saat ini dikembangkan sebagai bagian dari proyek OpenBSD, telah memperkenalkan opsi konfigurasi baru untuk daemon SSH-nya (sshd), yang menjanjikan untuk mengurangi upaya jahat dalam akses tidak sah.

Pembaruan ini, dipimpin oleh pengembang Damien Miller, mencakup dua fitur utama: PerSourcePenalties dan PerSourcePenaltyExemptList. Penambahan ini dirancang untuk menyempurnakan cara sshd menangani perilaku mencurigakan dari klien sambil memastikan bahwa pengguna yang sah tidak terdampak secara berlebihan.

Opsi baru PerSourcePenalties memungkinkan sshd untuk memantau dan menanggapi perilaku abnormal yang terdeteksi selama proses otentikasi SSH. Ketika fitur ini diaktifkan, sshd melacak status keluar dari proses sesi pra-otentikasi anaknya untuk mengidentifikasi aktivitas yang berpotensi berbahaya.

Contoh aktivitas semacam itu meliputi upaya login yang gagal berulang kali, yang mungkin menunjukkan upaya menebak kata sandi, atau tindakan yang menyebabkan sshd crash, yang mungkin menunjukkan upaya eksploitasi.

Dalam sistem ini, jika seorang klien menunjukkan perilaku yang mengarah pada status keluar yang bermasalah, sshd memberlakukan sanksi sementara pada alamat IP klien, memblokir koneksi lebih lanjut dari alamat ini dan alamat lain dalam blok jaringan yang sama untuk durasi tertentu.

Periode hukuman ini dapat meningkat dengan pelanggaran yang berulang, hingga batas maksimum tertentu. Yang penting, fitur ini dirancang untuk menyesuaikan responsnya berdasarkan tingkat keparahan dan frekuensi pelanggaran, menjadikannya alat yang dinamis dalam menghadapi serangan jaringan.

Sebaliknya, PerSourcePenaltyExemptList memungkinkan administrator untuk menentukan alamat IP atau rentang yang dibebaskan dari sanksi ini, memastikan bahwa klien tepercaya tidak mengalami masalah koneksi akibat langkah keamanan yang ketat. Ini sangat berguna untuk alamat yang sering memicu positif palsu di lingkungan yang lebih sensitif.

Miller menyatakan optimisme tentang fitur baru tersebut, mencatat bahwa itu "akan membuatnya jauh lebih sulit bagi para penyerang untuk menemukan akun dengan kata sandi yang lemah atau mudah ditebak atau mengeksploitasi bug dalam sshd itu sendiri."

Dia juga menunjukkan bahwa meskipun fitur PerSourcePenalties saat ini dimatikan secara default, kemungkinan besar akan diaktifkan secara otomatis pada pembaruan mendatang.

Banyak dari Anda mungkin membandingkan fitur baru ini dengan alat populer Fail2Ban, dan Anda benar; mereka cukup mirip fungsinya. Tapi yang kita bicarakan adalah implementasi asli dari fungsionalitas ini langsung ke dalam sshd, yang luar biasa.

Namun, penting untuk dicatat bahwa ini tidak berarti Fail2Ban tidak lagi berguna. Fail2Ban memiliki banyak fitur tambahan, seperti mengelola berbagai jenis autentikasi dan memperlakukan pengguna yang berbeda dengan cara tertentu, jadi jangan terburu-buru untuk menghentikannya ketika fitur baru tersedia dalam implementasi OpenSSH Anda.

Untuk informasi lebih lanjut, kunjungi pengumuman di Jurnal OpenBSD.