SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard

Immaginate internet come una città enorme e frenetica dove ogni edificio è un server di un computer, e la porta d'ingresso è un protocollo speciale chiamato SSH. Questo è il modo principale con cui gli amministratori di sistema entrano nei loro edifici per sistemare le cose, controllare la posta o accendere le luci. La maggior parte di queste porte ha due modi per aprirsi: una chiave hi-tech (chiave pubblica) o una parola segreta (password). La parola segreta è più facile da usare perché puoi digitarla da ovunque, ma ha un punto debole terribile: se qualcuno indovina la parola, entra.

Entra in scena l'attacco "brute force". Immaginate un robot dispettoso in piedi alla vostra porta, che cerca di sussurrare migliaia di password diverse ogni secondo, sperando che una di esse corrisponda alla vostra segreta. Se il robot è fortunato, entra indisturbato. Per fermare questo, molti edifici usano un buttafuori di nome Fail2Ban. Questo buttafuori è intelligente ma semplice: "Se fallisci nel indovinare la password tre volte, ti caccio fuori". Ma i robot sono furbi. Possono rallentare il loro sussurrare o distribuirsi in tutta la città, provando una sola volta da mille porte diverse. Il semplice buttafuori non se ne accorge perché non violano mai la regola dei "tre colpi". Questo lascia un vuoto dove i robot possono intrufolarsi, e le persone all'interno si ritrovano vulnerabili.

È qui che entra in gioco un nuovo team di ricercatori con un progetto chiamato SSHafe. Hanno costruito un guardiano super-intelligente che non si limita a contare i tentativi falliti; osserva il ritmo del bussare. Si sono resi conto che una persona reale che digita una password ha un battito cardiaco naturale e lento, mentre un robot che cerca di indovinare ha un battito cardiaco frenetico, simile a una mitragliatrice. Usando un tipo speciale di matematica (machine learning) per ascoltare questi battiti cardiaci nei registri dell'edificio, SSHafe può individuare il robot quasi istantaneamente, anche se sta cercando di essere furtivo.

Ma individuare il robot è solo metà della battaglia. Cosa succede quando il robot viene scoperto? Di solito, il proprietario dell'edificio deve resettare la password, il che spesso comporta l'invio di un link via email o un messaggio di testo. I ricercatori hanno scoperto che questi metodi di recupero sono come consegnare una chiave di scorta al robot mentre siete distratti; possono essere rubati o ingannati. Così, SSHafe introduce un modo completamente nuovo per cambiare la password. Invece di inviare un link, utilizza una "passkey" — un incontro digitale che dimostra che sei tu senza bisogno di una password. Combina l'atto di provare la propria identità e il cambio della password in un unico movimento inscalfibile.

Il Nuovo Guardiano e la Stretta di Mano Magica

Il documento presenta SSHafe, un sistema progettato per catturare questi subdoli robot che indovinano le password in tempo reale e poi aiutare i veri proprietari a chiudere la porta più ermeticamente. I ricercatori hanno costruito questo sistema utilizzando un modello di machine learning "leggero" chiamato LightGBM. Pensate a questo modello come a un detective che ha letto milioni di log e ha imparato a riconoscere l'impronta digitale specifica di un attacco.

Inveve di guardare solo quante volte una password è stata errata, SSHafe guarda la tempistica. Utilizza una tecnica a "finestra scorrevole" (sliding window), che è come guardare un video clip degli ultimi 30, 60 o 300 secondi. Si pone domande come: "Quante volte questa persona ha provato nell'ultimo minuto?" "Quanti diversi nomi utente ha provato?" e "Quanto velocemente sta digitando?". I ricercatori hanno scoperto che mentre un normale essere umano può provare una password una o due volte al secondo, un robot prova da 3 a 5 volte al secondo, o anche di più. Questa velocità frenetica è il segnale rivelatore del robot.

Quando il sistema rileva questo ritmo frenetico, non si limita ad aspettare. Agisce immediatamente. Entro 10 secondi, blocca l'account utente bersaglio. Ma ecco la parte intelligente: invece di limitarsi a chiudere la porta e lasciare l'utente a bocca asciutta, SSHafe espone un cartello digitale (un banner SSH) che dice: "Ehi, qualcuno sta cercando di entrare! Abbiamo bloccato la porta. Clicca qui per cambiare la tua password in sicurezza".

Il Reset della Password in "Un Solo Passo"

La parte più eccitante del documento è il nuovo modo in cui gestisce il cambio di password. Di solito, resettare una password è una danza in due tempi: prima dimostri chi sei (magari con un link email o un codice inviato al tuo telefono) e poi, in un passaggio separato, inserisci una nuova password. I ricercatori sostengono che questo sia rischioso perché il passaggio di "prova" può essere rubato o manipolato (come il phishing).

SSHafe propone uno standard di rotazione delle credenziali innovativo che combina questi due passaggi in uno solo. Utilizza una tecnologia chiamata FIDO2 Passkeys (che è come una chiave digitale conservata sul tuo telefono o computer). Quando devi cambiare la password, il sistema non ti chiede la vecchia password né ti invia un'email. Invezione, chiede al tuo dispositivo di eseguire una "stretta di mano magica".

Ecco come funziona la magia, secondo il documento:

1. Il server invia una sfida al tuo dispositivo.
2. Il tuo dispositivo usa una chiave segreta (la passkey) per firmare un messaggio che include la tua nuova password, criptata in modo che nessuno possa leggerla.
3. Il server controlla la firma. Se corrisponde, sa che sei il vero proprietario e riceve contemporaneamente la nuova password.

Tutto questo avviene in un unico flusso. Non ci sono cookie, non ci sono sessioni a lunga durata e non ci sono link email da rubare. Il documento afferma che questo metodo è resistente al phishing, al furto di sessione (session hijacking) e agli attacchi di "replay" (dove un malintenzionato registra un messaggio e lo riproduce in seguito).

I Risultati: Veloci, Accurati e Tenaci

I ricercatori hanno testato SSHafe in un ambiente reale utilizzando un computer cloud (una VM Azure) che è stato lasciato aperto su internet. Hanno anche simulato attacchi utilizzando uno strumento chiamato Hydra e una lista di 14,3 milioni di password comuni.

I risultati sono stati impressionanti. Sui dati di test, il sistema ha raggiunto un'accuratezza di rilevamento del 99,96%. Ciò significa che ha catturato quasi ogni singolo tentativo di attacco. Nei loro test dal vivo, il sistema ha identificato e bloccato gli attaccanti in meno di 10 secondi. Anche quando la password dell'utente era debole, gli attaccanti non sono riusciti a entrare perché il sistema ha bloccato l'account prima che il robot potesse indovinarla.

Il documento ha anche confrontato SSHafe con altri metodi. Mentre i sistemi più vecchi come Fail2Ban si affidano a regole semplici (come "3 colpi e fuori"), SSHafe utilizza il complesso ritmo degli attacchi per catturarli. I ricercatori hanno scoperto che il loro metodo aveva una precisione del 100% nei loro test, il che significa che non ha bloccato accidentalmente alcun utente innocente (nessun falso allarme).

Perché Questo è Importante

Il documento sostiene che dobbiamo andare oltre le semplici regole e i metodi di recupero obsoleti. Il "vecchio modo" di bloccare gli IP o inviare link email è come usare uno scudo di legno contro una spada laser; non funziona bene contro i moderni robot automatizzati. SSHafe offre una soluzione in due parti: un guardiano intelligente che ascolta il ritmo dell'attacco e un nuovo modo sicuro per cambiare le password che non dipende da link o codici vulnerabili.

I ricercatori hanno testato tutto questo su un modesto computer cloud con solo 2 vCPU e 1 GB di memoria, dimostrando che questa soluzione hi-tech non richiede un supercomputer per funzionare. Hanno persino lasciato il sistema in funzione per due settimane, dove è stato naturalmente scoperto e attaccato da veri hacker su internet. Il sistema ha difeso con successo contro questi attacchi del mondo reale, mantenendo gli account al sicuro anche quando le credenziali erano deboli.

In breve, SSHafe dimostra che combinando un rilevatore intelligente sensibile al ritmo con un cambio di password sicuro in un solo passaggio, possiamo costruire una difesa molto più forte per le nostre porte digitali. È un passo verso un futuro in cui i nostri server non si limitano a reagire agli attacchi, ma li sconfiggono con l'astuzia prima ancora che possano mettere un piede dentro.