OpenSSH Tiempo Brute Force

En 2006, hay un informe de fallos sobre OpenSSH tiempo ataques de fuerza bruta. Sin embargo, los desarrolladores de la OpenSSH declararon que no es un error y no lo arreglaría.

Cuando un atacante intente cuenta OpenSSH fuerza bruta, s / él emitirá una contraseña muy larga (por ejemplo, En 39.000 de longitud). Cuando existe el nombre de cuenta, el tiempo de respuesta será de muy alta retraso en comparación con el no-existente.

TurboBorland desarrolló un (PoC) código de prueba de concepto para el propósito.

Afirmó que no puede probarlo con éxito en la red local, pero funciona perfectamente en Internet. Sin embargo, no he probado yo mismo. Si usted está interesado en él, usted puede intentar.

Si el objetivo se implementa Fail2ban, usted puede tratar de retrasar el momento de ataque con el fin de evitar que se bloqueen o prohibido.

Eso es todo! Hasta luego.