OpenSSH, 새로운 기능으로 보안 강화

OpenSSH는 공격자를 즉시 제지할 수 있는 스마트 페널티 기능을 통해 보안을 강화합니다.

현재 OpenBSD 프로젝트의 일환으로 개발되고 있는 OpenSSH는 SSH 데몬(sshd)에 대한 새로운 구성 옵션을 도입했으며, 이는 무단 접근 시도에 대한 악의적인 시도를 완화할 수 있을 것으로 기대됩니다.

개발자 Damien Miller가 주도한 이번 업데이트에는 두 가지 주요 기능이 포함되어 있습니다: PerSourcePenalties와 PerSourcePenaltyExemptList. 이 추가 기능들은 sshd가 클라이언트의 의심스러운 행동을 처리하는 방식을 개선하면서도 정당한 사용자가 부당하게 영향을 받지 않도록 설계되었습니다.

새로운 PerSourcePenalties 옵션은 sshd가 SSH 인증 과정에서 감지된 비정상적인 동작을 모니터링하고 대응할 수 있도록 합니다. 이 기능이 활성화되면 sshd는 잠재적으로 위험한 활동을 식별하기 위해 자식 사전 인증 세션 프로세스의 종료 상태를 추적합니다.

이러한 활동의 예로는 반복적인 로그인 실패 시도가 있으며, 이는 비밀번호를 추측하려는 시도를 나타낼 수 있고, sshd를 충돌시키는 행위는 잠재적인 익스플로잇 시도를 나타낼 수 있습니다.

이 시스템에서는 클라이언트가 문제를 일으키는 종료 상태를 초래하는 행동을 보일 경우, sshd가 클라이언트의 IP 주소에 일시적인 제재를 가하며, 지정된 기간 동안 해당 주소와 같은 네트워크 블록 내의 다른 주소에서의 추가 연결을 차단합니다.

이 벌칙 기간은 반복적인 위반이 발생할 경우 최대 한도까지 늘어날 수 있습니다. 중요한 점은, 이 기능이 위반의 심각성과 빈도에 따라 대응을 조정하도록 설계되어 있어, 네트워크 공격에 대응하는 동적인 도구라는 것입니다.

반대로, PerSourcePenaltyExemptList는 관리자가 이러한 패널티에서 면제될 IP 주소나 범위를 지정할 수 있도록 하여, 신뢰할 수 있는 클라이언트가 엄격한 보안 조치로 인해 연결 문제를 겪지 않도록 합니다. 이는 특히 민감한 환경에서 자주 오탐을 발생시킬 수 있는 주소에 유용합니다.

밀러는 새로운 기능에 대해 낙관적인 태도를 보이며, 이 기능들이 '공격자가 약하거나 추측하기 쉬운 비밀번호를 가진 계정을 찾거나 sshd 자체의 버그를 악용하는 것을 상당히 어렵게 만들 것'이라고 언급했습니다.

그는 또한 현재 PerSourcePenalties 기능이 기본적으로 꺼져 있지만, 향후 업데이트에서는 자동으로 활성화될 가능성이 높다고 언급했습니다.

여러분 중 많은 분들이 이 새로운 기능을 인기 있는 Fail2Ban 도구와 비교하고 계실 텐데, 맞습니다; 기능적으로 꽤 비슷합니다. 하지만 우리가 말하는 것은 이 기능을 sshd에 직접 네이티브로 구현한 것이며, 이것은 정말 훌륭합니다.

하지만 이것이 Fail2Ban이 더 이상 유용하지 않다는 의미는 아니라는 점을 주목하는 것이 중요합니다. Fail2Ban은 다양한 인증 유형을 관리하고 특정 사용자들을 특정 방식으로 처리하는 등 많은 추가 기능을 가지고 있으므로, OpenSSH 구현에 새로운 기능이 생겼다고 해서 바로 사용을 중단하지 마세요.

자세한 정보는 OpenBSD 저널의 공지를 참조하세요.