Уязвимость, позволяющая обойти защиту от BruteForce-атак в OpenSSH

20 июля 2015 года

В OpenSSH выявлена недоработка, дающая возможность отключить систему ограничения интенсивности запросов на аутентификацию, мешающую эффективному проведению атак по словарному подбору паролей.

Метод основан на определении большого числа интерактивных устройств (KbdInteractiveDevices), симулируя подключение тысяч клавиатур. Установка таких устройств снимает применяемый по умолчанию лимит на шесть попыток входа в рамках одного соединения, вместо которого остаётся двухминутный таймаут на успешный вход в систему. За две минуты атакующий может перебрать тысячи словарных комбинаций, что существенно повышает эффективность словарного перебора.

Метод работает только при активном в конфигурации методе интерактивной аутентификации (KbdInteractiveAuthentication). По умолчанию включение режима интерактивной аутентификации зависит от настройки ChallengeResponseAuthentication. Из систем, в которых данный режим включен по умолчанию отмечается FreeBSD.

 

Источники

• Главная ссылка к новости (https://kingcope.wordpress.com...)

Эта статья содержит материалы из статьи «Уязвимость, позволяющая обойти защиту от BruteForce-атак в OpenSSH», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.

Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.