Una nuova falla interessa i sistema FreeBSD in particolare e quelli che, nello specifico, fanno uso di OpenSSH: sono infatti consentiti, su alcune configurazioni errate, fino a 10.000 tentativi di login consecutivi, da consumare mediante script automatico entro il cosiddetto grace-time di sistema.
Di default, infatti, OpenSSH limita a sei i tentativi di autenticazione prima di chiudere la connessione (i tentativi di ingresso di password sono invece tre, di norma). Sfruttando un eventuale grace-time male impostato, è possibile estendere questi limiti a diverse centinaia di tentativi, mettendo cosଠin atto eventuali brute force delle credenziali (provare “a tentativi” varie combinazioni username/password). Sul blog kingcope.wordpress.com è stata presentata una patch a questo tipo di problema che si può provare ad usare (non testata).
Per mitigare questo genere di attacchi, gli amministratori di sistema dovrebbero:
- utilizzare una chiave crittografica ad almeno 2048 bit di lunghezza;
- usare una password robusta per proteggere la vostra chiave privata;
- ridurre il grace period a 20/30 secondi;
- utilizzare software per limitare il numero di tentativi di login come Fail2Ban e Pam-Shield
Il rischio sembra legato ai sistemi FreeBSD di Linux versioni 6.2 e 10.1, ma potrebbe estendersi anche ad altre versioni e distribuzioni (fonti: kingcope.wordpress.com, TheHackerNews, Photo by protohiro )
👇 Da non perdere 👇
- Domini Internet 🌍
- Gratis 🎉
- Informatica 🖥
- intelligenza artificiale 👁
- monitoraggio servizi online 📈
- Programmare 🖥
- Spiegoni artificiali 🎓
- 💬 Il nostro canale Telegram: iscriviti
- 🔵 Quiz interattivo: conosci gli scritti Jacques Lacan?
- 🔴 Come usare il browser (guida)
- 🟠 Problemi ADSL: come risolverli (senza chiamare un NERD)
