L'opzione critica source-address è un'impostazione di controllo degli accessi SSH che consente l'autenticazione solo da indirizzi IP client approvati o da intervalli CIDR. Di solito è inclusa nei dati delle autorizzazioni lato server e verificata durante l'accesso, quindi una richiesta da una rete non attendibile dovrebbe essere rifiutata prima che la sessione venga stabilita.
Questo è importante perché aggiunge a SSH un perimetro di fiducia basato sulla rete, che viene spesso usato per amministrazione, automazione e accesso tramite bastion host. In attacchi reali, un bug di implementazione o un percorso di callback non gestito può far sì che la regola fallisca in modo aperto, consentendo ai client non autorizzati di proseguire nei flussi di autenticazione tramite password, keyboard-interactive o altri metodi. I difensori la usano per ridurre l'esposizione, ma dovrebbe essere affiancata da firewall, VPN e jump host, poiché i controlli di accesso sono efficaci solo quando ogni percorso di login li applica in modo coerente.