OpenSSH通过新功能增强安全性

OpenSSH 通过一项新功能加强了安全性，该功能旨在通过智能惩罚措施立即阻止攻击者。

OpenSSH，目前作为 OpenBSD 项目的一部分开发，已经为其 SSH 守护进程（sshd）引入了新的配置选项，这些选项有望减轻未授权访问的恶意尝试。

这一更新由开发者达米恩·米勒（Damien Miller）主导，包含两个关键功能：PerSourcePenalties 和 PerSourcePenaltyExemptList。这些新增功能旨在优化 sshd 对客户端可疑行为的处理方式，同时确保合法用户不受不必要的影响。

新的 PerSourcePenalties 选项使 sshd 能够监控并应对在 SSH 身份验证过程中检测到的异常行为。当启用此功能时，sshd 会跟踪其子预认证会话进程的退出状态，以识别潜在的有害活动。

此类活动的例子包括反复失败的登录尝试，这可能表明有人试图猜测密码，或导致 sshd 崩溃的行为，可能表明存在利用漏洞的企图。

在此系统下，如果客户端表现出导致问题退出状态的行为，sshd 会对该客户端的 IP 地址施加临时惩罚，阻止来自该地址及同一网络块中其他地址的进一步连接，持续指定的时间。

这一惩罚期限可能会因重复违规而增加，最高可达一个上限。重要的是，这一功能旨在根据违规的严重性和频率调整其响应，使其成为对网络攻击的动态防御工具。

相反，PerSourcePenaltyExemptList 允许管理员指定免受这些处罚的 IP 地址或范围，确保受信任的客户端不会因严格的安全措施而遇到连接问题。这对于在更敏感环境中可能经常触发误报的地址特别有用。

米勒对新功能表示乐观，并指出它们“将大大增加攻击者寻找弱密码或可猜测密码账户，或利用 sshd 本身漏洞的难度。”

他还表示，虽然PerSourcePenalties功能目前默认是关闭的，但在未来的更新中可能会自动启用。

你们中的许多人可能会将这个新功能与流行的 Fail2Ban 工具进行比较，你们是对的；它们在功能上确实非常相似。但我们讨论的是将这一功能直接原生集成到 sshd 中，这非常棒。

然而，重要的是要注意，这并不意味着 Fail2Ban 不再有用。它有许多额外的功能，例如管理各种类型的身份验证和以特定方式处理不同的用户，所以在你的 OpenSSH 实现中新功能可用时，不要急于弃用它。

欲了解更多信息，请访问《OpenBSD 期刊》上的公告。