SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard

Imaginez l'internet comme une ville géante et bouillonnante où chaque bâtiment est un serveur informatique, et la porte d'entrée est un protocole spécial appelé SSH. C'est le moyen principal par lequel les administrateurs système entrent dans leurs bâtiments pour réparer des choses, consulter le courrier ou allumer les lumières. La plupart de ces portes ont deux façons de s'ouvrir : une clé de haute technologie (clé publique) ou un mot secret (mot de passe). Le mot secret est plus facile à utiliser car vous pouvez le taper de n'importe où, mais il a une faiblesse terrible : si quelqu'un devine le mot, il entre.

Entrez dans l'attaque par « force brute ». Imaginez un robot malicieux debout devant votre porte, essayant de chuchoter des milliers de mots de passe différents chaque seconde, espérant que l'un d'eux corresponde à votre secret. Si le robot a de la chance, il entre directement. Pour empêcher cela, de nombreux bâtiments utilisent un videur nommé Fail2Ban. Ce videur est intelligent mais simple : « Si vous échouez à deviner le mot de passe trois fois, je vous mets dehors. » Mais les robots sont rusés. Ils peuvent ralentir leur chuchotement ou se disperser à travers la ville, en essayant une seule fois depuis mille portes différentes. Le videur simple ne les remarque pas car ils ne brisent jamais la règle des « trois tentatives ». Cela laisse une faille où les robots peuvent s'infiltrer, et les gens à l'intérieur se retrouvent vulnérables.

C'est ici qu'une nouvelle équipe de chercheurs intervient avec un projet appelé SSHafe. Ils ont construit un garde du corps super intelligent qui ne se contente pas de compter les échecs ; il observe le rythme des coups frappés à la porte. Ils ont réalisé qu'une vraie personne tapant un mot de passe a un battement de cœur naturel et lent, tandis qu'un robot essayant de deviner a un battement de cœur frénétique, comme une mitraillette. En utilisant un type spécial de mathématiques (l'apprentissage automatique ou machine learning) pour écouter ces battements de cœur dans le registre du bâtiment, SSHafe peut repérer le robot presque instantanément, même s'il essaie d'être discret.

Mais repérer le robot n'est que la moitié de la bataille. Que se passe-t-il quand le robot est pris ? Habituellement, le propriétaire du bâtiment doit réinitialiser le mot de passe, ce qui implique souvent l'envoi d'un lien par e-mail ou par SMS. Les chercheurs ont trouvé que ces méthodes de récupération sont comme tendre une clé de rechange au robot pendant que vous êtes distrait ; elles peuvent être volées ou trompées. Ainsi, SSHafe introduit une toute nouvelle façon de changer le mot de passe. Au lieu d'envoyer un lien, il utilise une « passkey » (clé de passage) — un échange numérique qui prouve que vous êtes bien vous, sans avoir besoin d'un mot de passe. Il combine l'acte de prouver votre identité et le changement de mot de passe en un seul mouvement incassable.

Le Nouveau Gardien et la Poignée de Main Magique

Le document présente SSHafe, un système conçu pour attraper ces robots de devineurs de mots de passe rusés en temps réel et aider ensuite les véritables propriétaires à verrouiller la porte plus fermement. Les chercheurs ont construit ce système en utilisant un modèle d'apprentissage automatique « léger » appelé LightGBM. Considérez ce modèle comme un détective qui a lu des millions de registres et a appris à reconnaître l'« empreinte digitale » spécifique d'une attaque.

Au lieu de simplement regarder combien de fois un mot de passe était incorrect, SSHafe regarde le timing. Il utilise une technique de « fenêtre glissante », qui est comme regarder un clip vidéo des 30, 60 ou 300 dernières secondes. Il pose des questions telles que : « Combien de fois cette personne a-t-elle essayé au cours de la dernière minute ? » « Combien d'utilisateurs différents ont été testés ? » et « À quelle vitesse tape-t-elle ? » Les chercheurs ont découvert que si un humain normal peut essayer un mot de passe une ou deux fois par seconde, un robot essaie 3 à 5 fois par seconde, ou même plus. Cette vitesse frénétique est l'indice qui trahit le robot.

Lorsque le système détecte ce rythme frénétique, il ne se contente pas d'attendre. Il agit immédiatement. En moins de 10 secondes, il bloque le compte utilisateur ciblé. Mais voici la partie astucieuse : au lieu de simplement verrouiller la porte et laisser l'utilisateur désemparé, SSHafe affiche un panneau numérique (une bannière SSH) qui dit : « Hé, quelqu'un essaie de s'introduire ! Nous avons verrouillé la porte. Cliquez ici pour changer votre mot de passe en toute sécurité. »

La Réinitialisation de Mot de Passe en « Une Étape »

La partie la plus excitante du document est la nouvelle façon dont il gère le changement de mot de passe. Habituellement, réinitialiser un mot de passe est une danse en deux étapes : d'abord, vous prouvez qui vous êtes (peut-être avec un lien par e-mail ou un code envoyé sur votre téléphone), puis, dans une étape distincte, vous tapez un nouveau mot de passe. Les chercheurs soutiennent que cela est risqué car l'étape de « preuve » peut être volée ou détournée (comme le phishing/hameçonnage).

SSHafe propose une nouvelle norme de rotation des identifiants qui combine ces deux étapes en une seule. Il utilise une technologie appelée FIDO2 Passkeys (qui est comme une clé numérique stockée sur votre téléphone ou votre ordinateur). Lorsque vous devez changer votre mot de passe, le système ne vous demande pas votre ancien mot de passe et ne vous envoie pas d'e-mail. Au lieu de cela, il demande à votre appareil d'effectuer une « poignée de main magique ».

Voici comment la magie opère, selon le document :

1. Le serveur envoie un défi à votre appareil.
2. Votre appareil utilise une clé secrète (la passkey) pour signer un message qui inclut votre nouveau mot de passe, chiffré de sorte que personne ne puisse le lire.
3. Le serveur vérifie la signature. Si elle correspond, il sait que vous êtes le véritable propriétaire et il reçoit le nouveau mot de passe en même temps.

Cela se produit en un seul flux. Il n'y a pas de cookies, pas de sessions de longue durée, et pas de liens par e-mail à voler. Le document affirme que cette méthode résiste au phishing, au détournement de session et aux attaques par « rejeu » (où un méchant enregistre un message et le rejoue plus tard).

Les Résultats : Rapide, Précis et Robuste

Les chercheurs ont testé SSHafe dans un environnement réel en utilisant un ordinateur cloud (une VM Azure) laissé ouvert sur Internet. Ils ont également simulé des attaques à l'aide d'un outil appelé Hydra et d'une liste de 14,3 millions de mots de passe courants.

Les résultats ont été impressionnants. Sur leurs données de test, le système a atteint une précision de détection de 99,96 %. Cela signifie qu'il a capturé presque toutes les tentatives d'attaque. Lors de leurs tests en direct, le système a identifié et bloqué les attaquants en moins de 10 secondes. Même lorsque le mot de passe de l'utilisateur était faible, les attaquants ne pouvaient pas entrer car le système verrouillait le compte avant que le robot ne puisse le deviner.

Le document compare également SSHafe à d'autres méthodes. Alors que les anciens systèmes comme Fail2Ban reposent sur des règles simples (comme « 3 fautes et c'est fini »), SSHafe utilise le rythme complexe des attaques pour les attraper. Les chercheurs ont constaté que leur méthode présentait une précision de 100 % lors de leurs tests, ce qui signifie qu'ils n'ont accidentellement bloqué aucun utilisateur innocent (pas de fausses alertes).

Pourquoi cela importe

Le document soutient que nous devons aller au-delà des règles simples et des méthodes de récupération obsolètes. « L'ancienne méthode » consistant à bloquer les adresses IP ou à envoyer des liens par e-mail est comme utiliser un bouclier en bois contre une épée laser ; elle ne fonctionne pas bien contre les robots automatisés modernes. SSHafe offre une solution en deux parties : un garde du corps intelligent qui écoute le rythme de l'attaque, et une nouvelle façon sécurisée de changer les mots de passe qui ne dépend pas de liens ou de codes vulnérables.

Les chercheurs ont testé cela sur un modeste ordinateur cloud avec seulement 2 vCPUs et 1 Go de mémoire, prouvant que cette solution de haute technologie n'a pas besoin d'un supercalculateur pour fonctionner. Ils ont même laissé le système tourner pendant deux semaines, où il a été naturellement découvert et attaqué par de vrais hackers sur Internet. Le système a défendu avec succès contre ces attaques réelles, gardant les comptes en sécurité même lorsque les identifiants étaient faibles.

En résumé, SSHafe montre qu'en combinant un détecteur intelligent sensible au rythme et un changement de mot de passe sécurisé en une seule étape, nous pouvons construire une défense beaucoup plus forte pour nos portes numériques. C'est un pas vers un avenir où nos serveurs ne se contentent pas de réagir aux attaques, mais les devancent intelligemment avant même qu'ils ne puissent poser le pied à l'intérieur.