Autorizacija pojedinačnog paketa
PortGuard
PortGuard nudi robusnu tehnologiju autorizacije jednog paketa za zaštitu vaše mreže od neovlaštenog pristupa, uključujući prijetnje skeniranjem portova.
Preuzmite sada, višeplatformski GUI
Multi-platformski GUI
Preuzmite za Windows
fwknopc_2_6_11_x64-setup.exe
Preuzmite za Macos
fwknopc_2_6_11_x64.pkg
Preuzmite za Android
fwknopc_2_6_11_x64.apk
Fwknop server za CentOS7
| Naziv datoteke | Posljednja izmjena | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Zašto sam razvio PortGuard?
Prvi put sam saznao za koncept autorizacije pojedinačnog paketa (SPA) tokom ležernog razgovora s kolegama na poslu. Prije toga, nisam imao znanja o port-knockingu ili SPA-i. Slučajno je našoj kompaniji bilo potrebno rješenje za port-knocking, i nakon istraživanja i proučavanja relevantnih materijala, otkrio sam fwknop. Koncept fwknopa bio je zaista impresivan - za usluge koje trebaju biti dostupne samo odabranima, fwknop je odlično rješenje. Razmišljali smo o razvoju vlastitog alata, ali fwknop je bio daleko zreliji. Međutim, fwknop ima svoje nedostatke: složen je, sa strmom krivuljom učenja za instalaciju i korištenje, i nedostaje mu namjenska klijentska aplikacija. To je dovelo do stvaranja PortGuarda. Cilj PortGuarda je da podrži glavne protokole za port-knocking poput fwknopa i, u budućnosti, tnoka, a istovremeno pruži klijenta za više platformi. Izgrađen kao proširenje fwknopa i tnoka, PortGuard ima za cilj da SPA tehnologiju učini jednostavnijom za korištenje i pristupačnijom.
2. Platforme koje podržava PortGuard klijent
Trenutno, PortGuard podržava sljedeće platforme:
- iOS
- Android
- Windows
- macOS
3. Slučajevi upotrebe PortGuarda
Osnovna funkcionalnost PortGuarda je poboljšanje sigurnosti mreže skrivanjem servisnih portova (podrazumijevano su zatvoreni) i pogodan je za sljedeće scenarije:
3.1 Zaštitite usluge udaljenog pristupa (npr. SSH)
Scenarij:Administratori trebaju sigurno pristupiti SSH uslugama s različitih lokacija (npr. od kuće, iz kafića, s mobilne mreže) bez izlaganja SSH porta javnoj mreži.
Implementacija: Koristite fwknop ili tnok, klijent šalje SPA pakete podataka ili TOTP knock pakete, a server provjerava i privremeno otvara SSH port (zadano 22) nakon provjere.
Prednosti: Spriječite Nmap i druge alate za skeniranje portova da otkrivaju servise, smanjujući rizik od iskorištavanja zero-day ranjivosti.
Primjer: Članovi udaljenog tima koriste fwknop klijent za slanje SPA paketa podataka na Windows ili Android uređajima i siguran pristup internim serverima kompanije.
3.2 Zaštita usluga u cloud okruženjima
Scenarij:Internim servisima (npr. bazama podataka, web serverima) u AWS-u, Azureu i drugim cloud platformama potrebno je pristupiti putem javne mreže, ali je potrebno izbjegavati direktno izlaganje portova.
Implementacija: PortGuard se integrira s NAT-om kako bi omogućio vanjskim klijentima pristup internim servisima u RFC 1918 adresnom prostoru putem SPA.
Prednosti: Podržava složene mrežne topologije, pogodne za hibridni oblak i okruženja s više zakupaca.
Primjer: Pokrenite fwknopd na AWS EC2 instancama, dinamički otvorite MySQL port (3306) za pristup ovlaštenih korisnika.
3.3 Zaštita od skeniranja portova i brute forcea
Scenarij:Serveri se suočavaju sa skeniranjem portova (npr. Nmap) ili napadima grubom silom i moraju sakriti servisne portove kako bi smanjili površinu napada.
Implementacija: PortGuard održava zadanu politiku drop firewall-a, otvarajući portove samo nakon prijema valjanih SPA paketa podataka.
Prednosti: Čak i ako postoje neispravljene ranjivosti, napadači ne mogu otkriti servisne portove.
Primjer: Sprečava SSH brute force, fwknop otvara portove samo nakon provjere HMAC-a.
3.4 Podrška za zaštitu višestrukih usluga
Scenarij:Preduzeća trebaju zaštititi više servisa (npr. SSH, RDP, VPN, bazu podataka), ali ne žele da svi portovi budu otvoreni cijelo vrijeme.
Implementacija: fwknop podržava definiranje više servisa i portova u access.conf datoteci, a klijent može odrediti ciljni protokol i port.
Prednosti: Fleksibilna konfiguracija pravila, podrška za prilagođeno vremensko ograničenje i strategije otvaranja portova.
Primjer: Konfigurišite fwknop da zaštiti i SSH (tcp/22) i OpenVPN (udp/1194).
3.5 Sigurnost ugrađenih ili IoT uređaja
Scenarij:IoT uređajima ili ugrađenim sistemima je potrebno daljinsko upravljanje, ali resursi uređaja su ograničeni i ranjivi na napade.
Implementacija: Pokrenite lagani fwknopd ili tnokd na uređajima s ograničenim resursima, kontrolirajte pristup putem SPA ili TOTP.
Prednosti: Mala potrošnja resursa, pogodno za male uređaje.
Primjer: Zaštitite web servis koji radi na Raspberry Pi-ju.
3.6 Integracija uređaja trećih strana
Scenarij:Potrebno je integrirati uređaje koji ne podržavaju izvorni fwknop (npr. Cisco ruteri), kontrolirati pravila zaštitnog zida (firewall).
Implementacija: Funkcija otvaranja/zatvaranja naredbe (command open/close cycle) u fwknop omogućava izvršavanje prilagođenih skripti za dinamičku modifikaciju ACL-a uređaja trećih strana.
Prednosti: Proširivo, podržava nestandardne uređaje za zaštitni zid.
Primjer: Pokrenite fwknopd na Linux serverima, ažurirajte ACL Cisco rutera putem SSH-a.
3.7 Tehnički detalji
- fwknop podržava definiranje vremenskog ograničenja (CMD_CYCLE_TIMER), otvaranje porta se automatski zatvara, smanjujući vrijeme izloženosti.
- Može se kombinovati sa VPN-om (npr. WireGuard, OpenVPN) za izgradnju sigurne privatne mreže.
- Podržava X-Forwarded-For parsiranje zaglavlja, pogodno za SPA u HTTP okruženju.
4. Koliko je PortGuard siguran?
Sigurnost PortGuarda prvenstveno zavisi od mehanizma autorizacije pojedinačnih paketa (SPA) fwknopa, u kombinaciji sa šifriranjem, autentifikacijom i integracijom zaštitnog zida, pružajući višeslojnu zaštitu. Slijedi detaljna analiza sigurnosti:
4.1 Šifriranje i autentifikacija
Šifriranje: fwknop podržava Rijndael (AES) simetrično šifriranje ili GnuPG asimetrično šifriranje, a sadržaj SPA paketa podataka ne može se direktno analizirati.
Autentifikacija: Koristite HMAC-SHA256 (zadano) ili novije verzije za autentifikaciju paketa podataka, osiguravajući integritet podataka i povjerenje izvora.
Sigurnost: Sprečava napade tipa 'čovjek u sredini' (MITM) i napade ponavljanjem, HMAC se primjenjuje nakon enkripcije, odupire se napadima orakula s dodavanjem CBC moda (npr. Vaudenay napadima).
Ograničenja: Simetrično šifriranje zahtijeva dijeljene ključeve klijenta i servera, nepravilno upravljanje ključevima može dovesti do curenja; GnuPG način rada zahtijeva održavanje prstenova za ključeve,
4.2 Sprečavanje skeniranja portova
Mehanizam: PortGuard koristi zadanu politiku drop firewall-a, a servisni port je nevidljiv kada nije autoriziran, tako da ga Nmap i drugi alati ne mogu otkriti.
Sigurnost: Značajno smanjuje površinu napada, čak i ako postoje zero-day ranjivosti, napadači ne mogu pronaći servisni port.
Ograničenja: Ako se paket podataka o knocku (tradicionalno testiranje portova je podložnije ovome), napadači mogu pokušati ponoviti reprodukciju (SPA je riješio ovaj problem putem HMAC-a).
4.3 Otpor brutalnoj sili
Mehanizam: SPA paketi podataka moraju biti ispravno šifrirani i HMAC autentificirani, brute force je gotovo nemoguć (paketi podataka s neispravnim HMAC-om se direktno odbacuju).
Sigurnost: U poređenju sa tradicionalnim 'port knockingom', SPA-ov dizajn jednog paketa i mehanizam šifriranja značajno poboljšavaju sposobnost otpora brute force napadima.
Ograničenja: Greške u konfiguraciji (npr. slabi ključevi ili onemogućeni HMAC) mogu smanjiti sigurnost.
✨ Karakteristike
Ljudi ❤️ Fwknop
John
Michael
James
David
Olivia
William