SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard

Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der jedes Gebäude ein Computer-Server ist und die Haustür ein spezielles Protokoll namens SSH ist. Dies ist der Hauptweg, auf dem Systemadministratoren in ihre Gebäude gehen, um Dinge zu reparieren, die Post zu prüfen oder das Licht einzuschalten. Die meisten dieser Türen haben zwei Möglichkeiten, geöffnet zu werden: ein hochtechnisierter Schlüssel (Public Key) oder ein geheimes Wort (Passwort). Das geheime Wort ist einfacher zu verwenden, da man es von überall aus eintippen kann, aber es hat eine bösartige Schwäche: Wenn jemand das Wort errät, kommt er hinein.

Hier kommt der „Brute-Force“-Angriff ins Spiel. Stellen Sie sich einen schelmischen Roboter vor, der vor Ihrer Tür steht und versucht, tausende verschiedene Passwörter pro Sekunde zu flüstern, in der Hoffnung, dass eines davon mit Ihrem geheimen Wort übereinstimmt. Wenn der Roboter Glück hat, tritt er einfach ein. Um dies zu verhindern, nutzen viele Gebäude einen Bouncer namens Fail2Ban. Dieser Bouncer ist klug, aber simpel: „Wenn du das Passwort dreimal falsch errätst, werfe ich dich raus.“ Aber die Roboter sind hinterlistig. Sie können ihr Flüstern verlangsamen oder sich über die ganze Stadt verteilen, indem sie nur einmal von tausend verschiedenen Türen aus versuchen, reinzukommen. Der einfache Bouncer bemerkt sie nicht, weil sie die „Drei-Schläge-Regel“ nie brechen. Dies hinterlässt eine Lücke, durch die die Roboter heranschleichen können und die Menschen im Inneren sind schutzlos ausgeliefert.

Hier kommt ein neues Team von Forschern mit einem Projekt namens SSHafe ins Spiel. Sie haben einen super-intelligenten Sicherheitswächter gebaut, der nicht nur die Anzahl der Fehlversuche zählt, sondern den Rhythmus des Klopfens beobachtet. Sie erkannten, dass ein echter Mensch, der ein Passwort tippt, einen natürlichen, langsamen Herzschlag hat, während ein Roboter, der versucht zu raten, einen hektischen Maschinenpistolen-Herzschlag hat. Durch die Verwendung einer speziellen Art von Mathematik (Maschinelles Lernen), um diese Herzschläge in den Protokollen des Gebäudes zu belauschen, kann SSHafe den Roboter fast sofort erkennen, selbst wenn er versucht, heimlich zu sein.

Das Erkennen des Roboters ist jedoch nur die halbe Miete. Was passiert, wenn der Roboter erwischt wird? Normalerweise muss der Besitzer des Gebäudes das Passwort zurücksetzen, was oft beinhaltet, einen Link per E-Mail oder Textnachricht zu senden. Die Forscher fanden heraus, dass diese Wiederherstellungsmethoden so sind, als würde man dem Roboter einen Ersatzschlüssel überreichen, während man abgelenkt ist; diese können gestohlen oder manipuliert werden. Also führt SSHafe eine brandneue Art der Passwortänderung ein. Anstatt einen Link zu senden, verwendet es einen „Passkey“ – einen digitalen Handschlag, der beweist, dass Sie Sie sind, ohne dass Sie überhaupt ein Passwort benötigen. Es kombiniert den Akt des Identitätsnachweises und der Passwortänderung zu einem einzigen, unknackbaren Schritt.

Der neue Wächter und der magische Handschlag

Das Paper präsentiert SSHAfe, ein System, das darauf ausgelegt ist, diese hinterlistigen Passwort-raten-Roboter in Echtzeit zu fangen und dann den echten Besitzern zu helfen, die Tür fester zu verschließen. Die Forscher bauten dieses System unter Verwendung eines „leichtgewichtigen“ Modells für maschinelles Lernen namens LightGBM. Betrachten Sie dieses Modell als einen Detektiv, der Millionen von Protokollen gelesen hat und gelernt hat, den spezifischen „Fingerabdruck“ eines Angriffs zu erkennen.

Anstatt nur zu schauen, wie oft ein Passwort falsch war, achtet SSHafe auf das Timing. Es verwendet eine „Sliding Window“-Technik (gleitendes Fenster), was wie das Beobachten eines Videoclips der letzten 30, 60 oder 300 Sekunden ist. Es stellt Fragen wie: „Wie oft hat diese Person in der letzten Minute versucht, sich anzumelden?“ „Wie viele verschiedene Benutzernamen hat sie ausprobiert?“ und „Wie schnell tippt sie?“ Die Forscher fanden heraus, dass ein normaler Mensch vielleicht ein bis zwei Mal pro Sekunde ein Passwort eingibt, ein Roboter hingegen 3 bis 5 Mal pro Sekunde oder sogar mehr. Diese hektische Geschwindigkeit ist das verräterische Merkmal des Roboters.

Wenn das System diesen hektischen Rhythmus erkennt, wartet es nicht einfach ab. Es handelt sofort. Innerhalb von 10 Sekunden sperrt es das betroffene Benutzerkonto. Aber hier ist der clevere Teil: Anstatt nur die Tür zu verriegeln und den Benutzer im Stich zu lassen, setzt SSHafe ein digitales Schild (einen SSH-Banner) auf, das besagt: „Hey, jemand versucht einzubrechen! Wir haben die Tür gesperrt. Klicken Sie hier, um Ihr Passwort sicher zu ändern.“

Der „Ein-Schritt“-Passwort-Reset

Der spannendste Teil des Papers ist die neue Art und Weise, wie es die Passwortänderung handhabt. Normalerweise ist das Zurücksetzen eines Passworts ein zweistufiger Tanz: Zuerst beweisen Sie, wer Sie sind (vielleicht durch einen E-Mail-Link oder einen Code auf Ihrem Telefon), und dann, in einem separaten Schritt, geben Sie ein neues Passwort ein. Die Forscher argumentieren, dass dies riskant ist, da der „Beweis“-Schritt gestohlen oder manipuliert werden kann (wie beim Phishing).

SSHAfe schlägt eine neuartige Credential-Rotation-Standard vor, der diese beiden Schritte in einem einzigen kombiniert. Es verwendet eine Technologie namens FIDO2 Passkeys (was wie ein digitaler Schlüssel ist, der auf Ihrem Telefon oder Computer gespeichert ist). Wenn Sie Ihr Passwort ändern müssen, fragt das System nicht nach Ihrem alten Passwort oder sendet Ihnen eine E-Mail. Stattdessen bittet es Ihr Gerät zu einem „magischen Handschlag“.

So funktioniert die Magie laut dem Paper:

1. Der Server sendet eine Herausforderung (Challenge) an Ihr Gerät.
2. Ihr Gerät verwendet einen geheimen Schlüssel (den Passkey), um eine Nachricht zu signieren, die Ihr neues Passwort enthält, verschlüsselt, sodass niemand es lesen kann.
3. Der Server prüft die Signatur. Wenn sie übereinstimmt, weiß er, dass Sie der echte Besitzer sind, und erhält gleichzeitig das neue Passwort.

Dies geschieht in einem einzigen Ablauf. Es gibt keine Cookies, keine langlebigen Sitzungen und keine E-Mail-Links, die gestohlen werden könnten. Das Paper behauptet, dass diese Methode resistent gegen Phishing, Session-Hijacking und „Replay“-Angriffe (bei denen ein Angreifer eine Nachricht aufzeichnet und später wieder abspielt) ist.

Die Ergebnisse: Schnell, genau und hartnäckig

Die Forscher testeten SSHafe in einer realen Umgebung unter Verwendung eines Cloud-Computers (einer Azure VM), der offen ins Internet gestellt wurde. Sie simulierten Angriffe auch mit einem Tool namens Hydra und einer Liste von 14,3 Millionen gängigen Passwörtern.

Die Ergebnisse waren beeindruckend. Auf ihren Testdaten erreichte das System eine Erkennungsgenauigkeit von 99,96 %. Das bedeutet, es hat fast jeden einzelnen Angriffsversuch erkannt. In ihren Live-Tests identifizierte und blockierte das System die Angreifer in weniger als 10 Sekunden. Selbst wenn das Passwort des Benutzers schwach war, konnten die Angreifer nicht eindringen, da das System das Konto sperrte, bevor der Roboter es erraten konnte.

Das Paper verglich SSHafe auch mit anderen Methoden. Während ältere Systeme wie Fail2Ban auf einfachen Regeln basieren (wie „3 Schläge und raus“), nutzt SSHafe den komplexen Rhythmus der Angriffe, um sie zu fangen. Die Forscher fanden heraus, dass ihre Methode in ihren Tests eine Präzision von 100 % erreichte, was bedeutet, dass sie versehentlich keine unschuldigen Benutzer gesperrt haben (keine Fehlalarme).

Warum das wichtig ist

Das Paper argumentiert, dass wir über einfache Regeln und veraltete Wiederherstellungsmethoden hinausgehen müssen. Die „alte Art“, IPs zu blockieren oder E-Mail-Links zu senden, ist wie ein Holzschild gegen ein Laserschwert; es funktioniert gegen moderne, automatisierte Roboter nicht gut. SSHafe bietet eine zweiteilige Lösung: einen smarten Wächter, der auf den Rhythmus des Angriffs hört, und einen neuen, sicheren Weg, Passwörter zu ändern, der keine anfälligen Links oder Codes benötigt.

Die Forscher testeten dies auf einem bescheidenen Cloud-Computer mit nur 2 vCPUs und 1 GB Arbeitsspeicher, was beweist, dass diese hochtechnologische Lösung keinen Supercomputer benötigt, um zu laufen. Sie ließen das System sogar zwei Wochen lang laufen, wobei es natürlich von echten Hackern im Internet entdeckt und angegriffen wurde. Das System verteidigte sich erfolgreich gegen diese realen Angriffe und hielt die Konten sicher, selbst wenn die Zugangsdaten schwach waren.

Kurz gesagt zeigt SSHafe, dass wir durch die Kombination eines intelligenten, rhythmus-sensiblen Detektors mit einem sicheren Ein-Schritt-Passwortwechsel einen viel stärkeren Schutz für unsere digitalen Türen bauen können. Es ist ein Schritt in Richtung einer Zukunft, in der unsere Server nicht nur auf Angriffe reagieren, sondern sie überlisten, noch bevor sie überhaupt einen Fuß in die Tür bekommen können.