SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard

インターネットを、あらゆる建物がコンピュータサーバーであり、正面玄関がSSHと呼ばれる特別なプロトコルである、巨大で賑やかな都市だと想像してみてください。これが、システム管理者が建物の修理をしたり、メールを確認したり、明かりをつけたりするために中に入るための主要な方法です。これらのドアのほとんどには、2つの開け方があります。ハイテクな鍵（公開鍵）か、あるいは秘密の言葉（パスワード）です。秘密の言葉はどこからでも入力できるので使いやすいのですが、厄介な弱点があります。もし誰かがその言葉を推測できてしまったら、中に入られてしまうのです。

ここで「ブルートフォース（総当たり）」攻撃が登場します。あなたの家のドアの前に、いたずら好きなロボットが立っている様子を想像してください。そのロボットは、あなたの秘密の言葉と一致することを期待して、毎秒何千もの異なるパスワードをささやき続けています。もしロボットが運良く当たれば、そのまま中へ入り込んでしまいます。これを阻止するために、多くの建物ではFail2Banという名の門番を雇っています。この門番は賢いですが単純です。「もしパスワードの推測に3回失敗したら、君を追い出すよ」というルールです。しかし、ロボットたちは巧妙です。彼らはささやく速度を落としたり、街中に分散したりして、1,000個の異なるドアからそれぞれ1回ずつ試行したりします。単純な門番は、彼らが「3回のルール」を破らないため、気づくことができません。これにより、隙が生じ、中の人々が無防備な状態に置かれてしまいます。

そこで、SSHafeというプロジェクトを掲げた新しい研究チームが登場します。彼らは、単に失敗した回数を数えるだけでなく、ノックの「リズム」を観察する、超スマートな警備員を作り上げました。彼らは、実在の人間がパスワードを入力するときには自然でゆっくりとした鼓動がある一方で、パスワードを推測しようとするロボットには、せっかちなマシンガンのような鼓動があることに気づきました。ログブックにあるこれらの鼓動を（機械学習という）特殊な数学を用いて分析することで、SSHafeはロボットを即座に見つけ出し、たとえロボットが巧妙に立ち回ろうとしても、それを察知することができます。

しかし、ロボットを見つけることは戦いの半分に過ぎません。ロボットが捕まったとき、一体どうなるのでしょうか？ 通常、建物の所有者はパスワードをリセットする必要がありますが、これには多くの場合、メールやテキストメッセージでリンクを送る作業が伴います。研究者たちは、これらのリカバリ方法が、注意が逸れている隙にロボットにスペアキーを手渡しているようなものであることを見出しました。それらは盗まれたり、騙されたりする可能性があるのです。そこで、SSHafeは全く新しいパスワード変更方法を導入しています。リンクを送る代わりに、「パスキー」――つまり、パスワードなしでも、あなたがあなたであることを証明できるデジタルな握手（ハンドシェイク）を使用します。これは、アイデンティティの証明とパスワード変更という行為を、一つの解読不可能な動きへと統合するものです。

新しい警備員と魔法の握手

本論文は、巧妙に隠れるパスワード推測ロボットをリアルタイムで捕まえ、そして本物の所有者がより強固にドアをロックできるように設計されたシステム、SSHAfeを提示しています。研究者たちは、LightGBMと呼ばれる「軽量」な機械学習モデルを使用してこのシステムを構築しました。このモデルを、何百万ものログを読み込み、攻撃の特定の「指紋」を認識することを学んだ探偵だと考えてください。

SShaفهは、単にパスワードが何回間違われたかを見るのではなく、その「タイミング」を見ます。これは「スライディングウィンドウ」技術を使用しており、これは直近の30秒、60秒、または300秒間のビデオクリップを見ているようなものです。システムは、「この人は過去1分間に何回試行したか？」「何種類のユーザー名を試したか？」「タイピングの速度はどのくらいか？」といった質問を投げかけます。研究者たちは、通常の人間は1秒間に1、2回パスワードを試す程度であるのに対し、ロボットは1秒間に3〜5回、あるいはそれ以上の速さで試行することを発見しました。この慌ただしいスピードこそが、ロボットの正体を暴く手がかりとなります。

システムがこの慌ただしいリズムを検知すると、ただ待っているだけではありません。即座に行動します。10秒以内に、対象となるユーザーアカウントをブロックします。しかし、ここが巧妙な点です。単にドアをロックしてユーザーを途方に暮れさせるのではなく、SSHAfeは「誰かが侵入を試みています！ドアをロックしました。ここをクリックして安全にパスワードを変更してください」というデジタル看板（SSHバナー）を表示します。

「ワンステップ」のパスワードリセット

この論文で最もエキサイティングな部分は、パスワード変更を扱う新しい方法です。通常、パスワードのリセットは2段階のダンスのようなものです。まず、あなたが誰であるかを証明し（メールのリンクや電話に送られるコードなどを使用）、次に、別のステップで新しいパスワードを入力します。研究者たちは、この「証明」のステップが盗まれたり、騙されたりする可能性があるため、これはリスクが高いと主張しています。

SSHAfeは、これら2つのステップを一つに組み合わせた斬新な資格情報ローテーション標準を提案しています。これは、FIDO2パスキー（スマートフォンやコンピュータに保存されているデジタルキーのようなもの）という技術を使用しています。パスワードを変更する必要があるとき、システムは古いパスワードを求めたり、メールを送ったりしません。代わりに、デバイスに対して「魔法の握手」を行うよう求めます。

論文によると、魔法の仕組みは以下の通りです：

1. サーバーがデバイスにチャレンジ（課題）を送信します。
2. デバイスは秘密の鍵（パスキー）を使用して、新しいパスワードを含むメッセージに署名します。この際、パスワードは誰も読めないように暗号化されています。
3. サーバーはその署名を検証します。署名が一致すれば、サーバーはあなたが真の所有者であることを確認すると同時に、新しいパスワードを同時に受け取ります。

これは単一の流れで行われます。クッキーも、長く続くセッションも、盗まれる可能性のあるメールリンクも存在しません。論文は、この方法がフィッシング、セッションハイジャック、および「リプレイ攻撃」（悪意のある者がメッセージを記録し、後で再生する攻撃）に対して耐性があることを主張しています。

結果：高速、正確、そして強固

研究者たちは、インターネットに公開されたクラウドコンピュータ（Azure VM）を使用して、現実世界の環境でSSHAfeをテストしました。また、Hydraというツールと1,430万個の一般的なパスワードリストを使用して、攻撃をシミュレートしました。

結果は素晴らしいものでした。テストデータにおいて、システムは99.96%の検出精度を達成しました。これは、ほぼすべての攻撃の試みを捉えたことを意味します。ライブテストにおいても、システムは10秒未満で攻撃者を特定し、ブロックしました。ユーザーのパスワードが脆弱であった場合でも、ロボットが推測を完了する前にシステムがアカウントをロックしたため、攻撃者は侵入できませんでした。

また、論文ではSSHAfeを他の手法と比較しています。Fail2Banのような古いシステムは単純なルール（「3回失敗したらアウト」など）に依存していますが、SSHAfeは攻撃の複雑なリズムを利用してそれらを捕らえます。研究者たちは、彼らの手法がテストにおいて**100%の適合率（Precision）**を実現したことを発見しました。これは、誤って無実のユーザーをロックアウトすることがなかった（誤検知がなかった）ことを意味します。

なぜこれが重要なのか

この論文は、単純なルールや時代遅れのリカバリ方法を超えていく必要があると主張しています。IPアドレスをブロックしたりメールリンクを送ったりする「古いやり方」は、レーザーソードに対して木製の盾を使っているようなものであり、現代の自動化されたロボットに対してはうまく機能しません。SSHAfeは、二部構成の解決策を提供します。攻撃のリズムを聞き取るスマートな警備員と、脆弱なリンクやコードに頼らない安全なパスワード変更方法です。

研究者たちは、わずか2 vCPUと1 GBのメモリを備えた控えめなクラウドコンピュータ上でこれをテストし、このハイテクなソリューションを実行するのにスーパーコンピュータは必要ないことを証明しました。彼らはシステムを2週間稼働させ続け、そこでは自然に現実世界のハッカーによる攻撃に遭遇しましたが、システムはこれらの現実世界の攻撃を防ぎ、認証情報が脆弱な場合でもアカウントを安全に保ちました。

要約すると、SSHAfeは、リズムを感知するスマートな検知器と、安全なワンステップのパスワード変更を組み合わせることで、私たちのデジタルのドアをより強固にできることを示しています。これは、サーバーが単に攻撃に反応するのではなく、足を踏み入れられる前に攻撃を出し抜く、より強力な防御への一歩なのです。