SSHafe: A Real-Time SSH Brute Force Attack Detection and Novel Credential Rotation Standard

Imagine a internet como uma cidade gigante e movimentada onde cada edifício é um servidor de computador, e a porta da frente é um protocolo especial chamado SSH. Esta é a principal maneira pela qual os administradores de sistemas entram em seus edifícios para consertar coisas, verificar o correio ou acender as luzes. A maioria dessas portas tem duas formas de abrir: uma chave de alta tecnologia (chave pública) ou uma palavra secreta (senha). A palavra secreta é mais fácil de usar porque você pode digitá-la de qualquer lugar, mas tem uma fraqueza terrível: se alguém adivinhar a palavra, consegue entrar.

Entre o ataque de "força bruta". Imagine um robô travesso parado diante da sua porta, tentando sussurrar milhares de senhas diferentes a cada segundo, esperando que uma delas corresponda ao seu segredo. Se o robô tiver sorte, ele entra direto. Para impedir isso, muitos edifícios usam um segurança chamado Fail2Ban. Este segurança é inteligente, mas simples: "Se você errar a senha três vezes, eu te coloco para fora". Mas os robôs são astutos. Eles podem diminuir o ritmo de seus sussurros ou se espalhar pela cidade, tentando apenas uma vez de mil portas diferentes. O segurança simples não percebe, porque eles nunca quebram a regra das "três tentativas". Isso deixa uma brecha onde os robôs podem se infiltrar, e as pessoas lá dentro ficam vulneráveis.

É aqui que uma nova equipe de pesquisadores entra com um projeto chamado SSHafe. Eles construíram um segurança superinteligente que não apenas conta as tentativas falhas; ele observa o ritmo das batidas na porta. Eles perceberam que uma pessoa real digitando uma senha tem um batimento cardíaco natural e lento, enquanto um robô tentando adivinhar tem um batimento cardíaco frenético, como uma metralhadora. Ao usar um tipo especial de matemática (aprendizado de máquina) para ouvir esses batimentos cardíacos nos registros do edifício, o SSHafe consegue detectar o robô quase instantaneamente, mesmo que ele esteja tentando ser furtivo.

Mas detectar o robô é apenas metade da batalha. O que acontece quando o robô é pego? Geralmente, o proprietário do edifício precisa redefinir a senha, o que muitas vezes envolve enviar um link por e-mail ou uma mensagem de texto. Os pesquisadores descobriram que esses métodos de recuperação são como entregar uma chave reserva ao robô enquanto você está distraído; eles podem ser roubados ou enganados. Por isso, o SSHafe introduz uma nova maneira de alterar a senha. Em vez de enviar um link, ele usa uma "passkey" — um aperto de mão digital que prova que você é você mesmo, sem precisar de uma senha. Ele combina o ato de provar sua identidade e alterar a senha em um único movimento inquebrável.

O Novo Guarda e o Aperto de Mão Mágico

O artigo apresenta o SSHafe, um sistema projetado para pegar esses robôs de tentativa de senha furtivos em tempo real e, em seguida, ajudar os proprietários reais a trancar a porta com mais força. Os pesquisadores construíram este sistema usando um modelo de aprendizado de máquina "leve", chamado LightGBM. Pense neste modelo como um detetive que leu milhões de registros e aprendeu a reconhecer a "impressão digital" específica de um ataque.

Em vez de apenas olhar para quantas vezes a senha estava errada, o SSHafe observa o tempo. Ele utiliza uma técnica de "janela deslizante", que é como assistir a um clipe de vídeo dos últimos 30, 60 ou 300 segundos. Ele faz perguntas como: "Quantas vezes essa pessoa tentou no último minuto?" "Quantos nomes de usuário diferentes eles tentaram?" e "Quão rápido eles estão digitando?". Os pesquisadores descobriram que, enquanto um humano normal pode tentar uma senha uma ou duas vezes por segundo, um robô tenta de 3 a 5 vezes por segundo, ou até mais. Essa velocidade frenética é o que entrega o robô.

Quando o sistema detecta esse ritmo frenético, ele não apenas espera. Ele age imediatamente. Dentro de 10 segundos, ele bloqueia a conta do usuário visada. Mas aqui está a parte inteligente: em vez de apenas trancar a porta e deixar o usuário desamparado, o SSHafe exibe uma placa digital (um banner SSH) que diz: "Ei, alguém está tentando invadir! Nós trancamos a porta. Clique aqui para alterar sua senha com segurança".

A Redefinição de Senha de "Um Passo"

A parte mais emocionante do artigo é a nova maneira como ele lida com a alteração de senhas. Normalmente, redefinir uma senha é uma dança de dois passos: primeiro, você prova quem é (talvez com um link de e-mail ou um código enviado para seu telefone) e, depois, em uma etapa separada, você digita uma nova senha. Os pesquisadores argumentam que isso é arriscado porque a etapa de "prova" pode ser roubada ou enganada (como no phishing).

O SSHafe propõe uma nova norma de rotação de credenciais que combina esses dois passos em um só. Ele utiliza uma tecnologia chamada FIDO2 Passkeys (que é como uma chave digital armazenada no seu telefone ou computador). Quando você precisa alterar sua senha, o sistema não pede sua senha antiga nem envia um e-mail para você. Em vez disso, ele pede ao seu dispositivo para realizar um "aperto de mão mágico".

Eis como o milagre funciona, de acordo com o artigo:

1. O servidor envia um desafio para o seu dispositivo.
2. Seu dispositivo usa uma chave secreta (a passkey) para assinar uma mensagem que inclui sua nova senha, criptografada para que ninguém possa lê-la.
3. O servidor verifica a assinatura. Se ela corresponder, o servidor sabe que você é o proprietário real e recebe a nova senha ao mesmo tempo.

Isso acontece em um único fluxo. Não há cookies, sessões de longa duração ou links de e-mail para serem roubados. O artigo afirma que este método é resistente a phishing, sequestro de sessão e ataques de "replay" (onde um invasor grava uma mensagem e a reproduz mais tarde).

Os Resultados: Rápido, Preciso e Robusto

Os pesquisadores testaram o SSHafe em um ambiente real usando um computador na nuvem (uma VM do Azure) que foi deixado aberto para a internet. Eles também simularam ataques usando uma ferramenta chamada Hydra e uma lista de 14,3 milhões de senhas comuns.

Os resultados foram impressionantes. Em seus dados de teste, o sistema alcançou uma precisão de detecção de 99,96%. Isso significa que ele pegou quase todas as tentativas de ataque. Em seus testes ao vivo, o sistema identificou e bloqueou os atacantes em menos de 10 segundos. Mesmo quando a senha do usuário era fraca, os atacantes não conseguiram entrar porque o sistema bloqueou a conta antes que o robô pudesse adivinhar.

O artigo também comparou o SSHafe com outros métodos. Enquanto sistemas antigos como o Fail2Ban dependem de regras simples (como "3 erros e você está fora"), o SSHafe usa o ritmo complexo dos ataques para capturá-los. Os pesquisadores descobriram que seu método teve uma precisão de 100% em seus testes, o que significa que não bloqueou acidentalmente nenhum usuário inocente (sem alarmes falsos).

Por Que Isso Importa

O artigo argumenta que precisamos ir além de regras simples e métodos de recuperação obsoletos. A "maneira antiga" de bloquear IPs ou enviar links de e-mail é como usar um escudo de madeira contra uma espada de laser; não funciona bem contra robôs automatizados modernos. O SSHafe oferece uma solução de duas partes: um guarda inteligente que ouve o ritmo do ataque e uma nova maneira segura de alterar senhas que não depende de links ou códigos vulneráveis.

Os pesquisadores testaram isso em um computador modesto na nuvem com apenas 2 vCPUs e 1 GB de memória, provando que esta solução de alta tecnologia não precisa de um supercomputador para rodar. Eles até deixaram o sistema funcionando por duas semanas, onde foi naturalmente descoberto e atacado por hackers reais na internet. O sistema defendeu com sucesso contra esses ataques do mundo real, mantendo as contas seguras mesmo quando as credenciais eram fracas.

Em suma, o SSHafe mostra que, ao combinar um detector inteligente que sente o ritmo com uma mudança de senha segura de um passo, podemos construir uma defesa muito mais forte para nossas portas digitais. É um passo em direção a um futuro onde nossos servidores não apenas reagem aos ataques, mas os superam antes mesmo de conseguirem colocar um pé para dentro.