O que significa "Desligamento normal, obrigado por jogar [preauth]" nos logs SSH?

Question

Recentemente, meus resumos de log SSH para meus servidores Ubuntu 12.04 no Logwatch começaram a mostrar entradas para "11: Desligamento normal, obrigado por jogar [preauth]" junto com "11: Bye Bye [preauth]" e "11: desconectado por usuário" mensagens que eles estavam mostrando anteriormente.

Não vi esta mensagem em meus logs antes das últimas semanas, nem em meus servidores mais antigos que estão presos no Ubuntu 10.04. Pesquisei esta mensagem no Google e também não consigo encontrar nenhuma explicação clara.

Os IPs que tentam fazer login e receber esta mensagem são tentativas aleatórias de hack e, a julgar pela pré-autenticação, presumo (espero) que não tenham sucesso, mas gostaria de saber exatamente o que esta mensagem significa e como ela difere das outras, para ter certeza.

EDIT para obter informações adicionais: Meus servidores têm autenticação por senha e autenticação root desabilitadas

Answer 1

Quando o cliente ssh desliga a conexão "normal", ele envia um pacote com uma mensagem. Quando o daemon ssh recebe esse pacote quando não o esperava - neste caso, antes que o usuário conseguisse autenticar - ele registra a mensagem. (Versões mais antigas do OpenSSH não faziam isso.) Portanto, sua suposição está exatamente correta: é um efeito colateral de um ataque de força bruta para adivinhação de senha ssh. Você provavelmente deveria estar executando algo como fail2ban ou sshguard para bloqueá-los no iptables; mesmo que você ache que tudo está configurado corretamente para proibir senhas, é bom ter uma segunda camada de defesa.

Answer 2

A resposta aceita está correta, mas pensei em postar esta resposta para complementá-la com um motivo para a alteração, explicando por que os administradores não viam anteriormente essas mensagens em seus arquivos de log.

Este problema foi discutido na lista de desenvolvedores OpenSSH em janeiro de 2014. De acordo comDamien Miller, desenvolvedor OpenSSH,

A mensagem está lá basicamente desde sempre:

1.41 (markus 02-Jan-01): log("Desconexão recebida de %s: %d: %.400s", ...

A única coisa que mudou recentemente é que melhoramos o registro de mensagens de pré-autenticação no modo privsep na versão 5.9 para não precisar mais de um /dev/logchroot dentro do privsep. Se a sua versão antiga do OpenSSH era <5.9 e o /var/emptychroot não continha um /dev/log, então você pode estar perdendo essas mensagens.

Answer 3

Eu também notei essas mensagens em meus arquivos de log desde a atualização recente do pacote open-ssh em meus servidores.

No entanto, não creio que as mensagens impliquem necessariamente tentativas de hack. Algumas das frases são codificadas em clientes SSH legítimos, presumivelmente como remanescentes do código de desenvolvimento original. Meu cliente ssh do iOS (iSSH), por exemplo, emite esta frase quando eu me desconecto dos meus próprios servidores.