Een experiment waarbij een beveiligingsonderzoeker zijn SSH-server bewust liet aanvallen, heeft een aantal interessante trends en wachtwoorden opgeleverd. Servers waarbij gebruikers via SSH kunnen inloggen zijn een geliefd doelwit van aanvallers, die via brute force-aanvallen allerlei combinaties van gebruikersnamen en wachtwoorden proberen. Beveiligingsonderzoeker Steven Murdoch wilde zien wat voor soort aanvallen en woordenboeken de aanvallers gebruiken.

De meeste aanvallen die Murdoch in zijn experiment waarnam waren "saai", zoals hij het zelf omschrijft. Het gaat dan om zwakke, veel voorkomende wachtwoorden zoals 1234 en password, in combinatie met een beperkt aantal gebruikersnamen. Ook detecteerde hij pogingen op een groot aantal accounts die mogelijk zouden kunnen bestaan, maar per account werd slechts een klein aantal wachtwoorden geprobeerd.

FreeBSD
Toch waren er ook verschillende interessante aanvallen, merkt Murdoch op. Het gaat dan om wachtwoorden als “TiganilAFloriNTeleormaN”, “Fum4tulP0@t3Uc1d3R4uD3T0t!@#$%^%^&*?”, en “kx028897chebeuname+a”). Die zijn waarschijnlijk via een ongehashte wachtwoordendatabase of getrojaniseerde SSH-server of client verzameld. Andere vreemde pogingen bestonden uit platte en gesalte hashes en zelfs bestandsnamen kwamen langs.

Dat laat zien dat sommige aanvallers niet om de kwaliteit van hun wachtwoordendatabase geven en wachtwoorden die zinloos zijn om te gebruiken gewoon laten staan, stelt de onderzoeker. Verder ontving hij veel inlogpogingen, maar geen wachtwoorden, omdat de standaard FreeBSD configuratie alleen keyboard-interactive authenticatie ondersteunt, in plaats van de beperktere wachtwoord-authenticatie.

Hostname
Eén aanval die Murdoch nog nooit had gezien was het gebruik van gebruikersnamen en wachtwoorden gebaseerd op de hostname van de machine. "Dit was duidelijk geen woordenboek, maar zelfontwikkelde code die een reverse DNS-lookup van de host deed en dan mogelijke wachtwoorden genereerde. Murdoch adviseert gebruikers om sterke wachtwoorden te kiezen en niet via wachtwoorden op het root-account in te loggen, aangezien dit de meeste aanvallen kan voorkomen.