Εξουσιοδότηση ενός πακέτου
PortGuard
Το PortGuard προσφέρει ισχυρή τεχνολογία εξουσιοδότησης ενός πακέτου για την προστασία του δικτύου σας από μη εξουσιοδοτημένη πρόσβαση, συμπεριλαμβανομένων απειλών σάρωσης θυρών.
Κάντε λήψη τώρα, GUI πολλαπλών πλατφορμών
GUI πολλαπλών πλατφορμών
Λήψη για Windows
fwknopc_2_6_11_x64-setup.exe
Λήψη για Macos
fwknopc_2_6_11_x64.pkg
Λήψη για Android
fwknopc_2_6_11_x64.apk
Διακομιστής Fwknop για CentOS7
| Όνομα αρχείου | Τελευταία τροποποίηση | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Γιατί ανέπτυξα το PortGuard;
Έμαθα για πρώτη φορά για την έννοια της Εξουσιοδότησης Ενιαίου Πακέτου (SPA) κατά τη διάρκεια μιας χαλαρής συζήτησης με συναδέλφους στη δουλειά. Πριν από αυτό, δεν είχα καμία γνώση του port knocking ή του SPA. Τυχαίνει η εταιρεία μας να χρειαζόταν μια λύση port-knocking και, αφού έψαξα και εξερεύνησα σχετικό υλικό, ανακάλυψα το fwknop. Η έννοια του fwknop ήταν πραγματικά εντυπωσιακή - για υπηρεσίες που πρέπει να είναι προσβάσιμες μόνο σε λίγους εκλεκτούς, το fwknop είναι μια εξαιρετική λύση. Σκεφτήκαμε να αναπτύξουμε το δικό μας εργαλείο, αλλά το fwknop ήταν πολύ πιο ώριμο. Ωστόσο, το fwknop έχει τα μειονεκτήματά του: είναι πολύπλοκο, με απότομη καμπύλη εκμάθησης για εγκατάσταση και χρήση και δεν διαθέτει μια ειδική εφαρμογή-πελάτη. Αυτό οδήγησε στη δημιουργία του PortGuard. Ο στόχος του PortGuard είναι να υποστηρίζει τα κύρια πρωτόκολλα port-knocking όπως το fwknop και, στο μέλλον, το tnok, παρέχοντας παράλληλα έναν cross-platform client. Κατασκευασμένο ως επέκταση του fwknop και του tnok, το PortGuard στοχεύει να κάνει την τεχνολογία SPA πιο φιλική προς το χρήστη και προσβάσιμη.
2. Πλατφόρμες που υποστηρίζονται από πελάτες PortGuard
Προς το παρόν, το PortGuard υποστηρίζει τις ακόλουθες πλατφόρμες:
- iOS
- Android
- Windows
- macOS
3. Περιπτώσεις Χρήσης PortGuard
Η βασική λειτουργικότητα του PortGuard είναι η ενίσχυση της ασφάλειας δικτύου αποκρύπτοντας τις θύρες υπηρεσιών (προεπιλογή κλειστές) και είναι κατάλληλο για τα ακόλουθα σενάρια:
3.1 Προστασία υπηρεσιών απομακρυσμένης πρόσβασης (π.χ. SSH)
Σενάριο:Οι διαχειριστές πρέπει να έχουν ασφαλή πρόσβαση σε υπηρεσίες SSH από διαφορετικές τοποθεσίες (π.χ. σπίτι, καφετέρια, δίκτυο κινητής τηλεφωνίας) χωρίς να εκθέτουν τη θύρα SSH στο δημόσιο δίκτυο.
Εκτέλεση: Χρησιμοποιήστε το fwknop ή το tnok, ο πελάτης στέλνει πακέτα δεδομένων SPA ή πακέτα TOTP knock και ο διακομιστής επαληθεύει και ανοίγει προσωρινά τη θύρα SSH (προεπιλογή 22) μετά την επαλήθευση.
Φόντα: Αποτρέψτε το Nmap και άλλα εργαλεία σάρωσης θυρών από το να ανακαλύπτουν υπηρεσίες, μειώνοντας τον κίνδυνο εκμετάλλευσης τρωτών σημείων zero-day.
Παράδειγμα: Τα μέλη της απομακρυσμένης ομάδας χρησιμοποιούν το πρόγραμμα-πελάτη fwknop για την αποστολή πακέτων δεδομένων SPA σε συσκευές Windows ή Android, με ασφαλή πρόσβαση σε εσωτερικούς διακομιστές της εταιρείας.
3.2 Προστασία υπηρεσιών σε περιβάλλοντα cloud
Σενάριο:Οι εσωτερικές υπηρεσίες (π.χ. βάσεις δεδομένων, διακομιστές ιστού) στις πλατφόρμες AWS, Azure και άλλες πλατφόρμες cloud πρέπει να είναι προσβάσιμες μέσω του δημόσιου δικτύου, αλλά πρέπει να αποφεύγεται η άμεση έκθεση των θυρών.
Εκτέλεση: Το PortGuard ενσωματώνεται με το NAT για να επιτρέπει σε εξωτερικούς πελάτες να έχουν πρόσβαση σε εσωτερικές υπηρεσίες στον χώρο διευθύνσεων RFC 1918 μέσω SPA.
Φόντα: Υποστηρίζει σύνθετες τοπολογίες δικτύου, κατάλληλες για υβριδικά περιβάλλοντα cloud και πολλαπλών μισθωτών.
Παράδειγμα: Εκτελέστε το fwknopd σε παρουσίες AWS EC2, ανοίξτε δυναμικά τη θύρα MySQL (3306) για πρόσβαση από εξουσιοδοτημένους χρήστες.
3.3 Προστασία από τη σάρωση θυρών και την ωμή βία
Σενάριο:Οι διακομιστές αντιμετωπίζουν σάρωση θυρών (π.χ., Nmap) ή επιθέσεις brute force και πρέπει να αποκρύψουν τις θύρες υπηρεσιών για να μειώσουν την επιφάνεια επίθεσης.
Εκτέλεση: Το PortGuard διατηρεί την προεπιλεγμένη πολιτική τείχους προστασίας απόρριψης, ανοίγοντας θύρες μόνο μετά τη λήψη έγκυρων πακέτων δεδομένων SPA.
Φόντα: Ακόμα κι αν υπάρχουν μη ενημερωμένα τρωτά σημεία, οι εισβολείς δεν μπορούν να ανακαλύψουν θύρες υπηρεσιών.
Παράδειγμα: Αποτρέψτε την ωμή βία SSH, το fwknop ανοίγει τις θύρες μόνο μετά την επαλήθευση του HMAC.
3.4 Υποστήριξη προστασίας πολλαπλών υπηρεσιών
Σενάριο:Οι επιχειρήσεις πρέπει να προστατεύουν πολλαπλές υπηρεσίες (π.χ. SSH, RDP, VPN, βάσεις δεδομένων), αλλά δεν θέλουν όλες οι θύρες να είναι ανοιχτές συνεχώς.
Εκτέλεση: Το fwknop υποστηρίζει τον ορισμό πολλαπλών υπηρεσιών και θυρών στο access.conf και ο πελάτης μπορεί να καθορίσει το πρωτόκολλο και τη θύρα προορισμού.
Φόντα: Ευέλικτη διαμόρφωση κανόνων, υποστήριξη προσαρμοσμένου χρονικού ορίου και στρατηγικών ανοίγματος θύρας.
Παράδειγμα: Ρυθμίστε τις παραμέτρους του fwknop για να προστατεύσετε τόσο το SSH (tcp/22) όσο και το OpenVPN (udp/1194).
3.5 Ασφάλεια ενσωματωμένων συσκευών ή συσκευών IoT
Σενάριο:Οι συσκευές IoT ή τα ενσωματωμένα συστήματα χρειάζονται απομακρυσμένη διαχείριση, αλλά οι πόροι της συσκευής είναι περιορισμένοι και ευάλωτοι σε επιθέσεις.
Εκτέλεση: Εκτελέστε ελαφριά fwknopd ή tnokd σε συσκευές με περιορισμένους πόρους, ελέγξτε την πρόσβαση μέσω SPA ή TOTP.
Φόντα: Χαμηλή κατανάλωση πόρων, κατάλληλη για μικρές συσκευές.
Παράδειγμα: Προστατέψτε την υπηρεσία Web που εκτελείται στο Raspberry Pi.
3.6 Ενσωμάτωση συσκευών τρίτων
Σενάριο:Ανάγκη ενσωμάτωσης με συσκευές που δεν υποστηρίζουν εγγενές fwknop (π.χ. δρομολογητές Cisco), ελέγχου των κανόνων τείχους προστασίας.
Εκτέλεση: Η λειτουργία κύκλου ανοίγματος/κλεισίματος εντολών (κύκλος ανοίγματος/κλεισίματος εντολών) του fwknop επιτρέπει την εκτέλεση προσαρμοσμένων σεναρίων για τη δυναμική τροποποίηση του ACL συσκευών τρίτων κατασκευαστών.
Φόντα: Επεκτάσιμο, υποστήριξη μη τυπικών συσκευών τείχους προστασίας.
Παράδειγμα: Εκτελέστε το fwknopd σε διακομιστές Linux, ενημερώστε το ACL των δρομολογητών Cisco μέσω SSH.
3.7 Τεχνικές λεπτομέρειες
- Το fwknop υποστηρίζει τον ορισμό χρονικού ορίου (CMD_CYCLE_TIMER), το άνοιγμα της θύρας κλείνει αυτόματα, μειώνοντας τον χρόνο έκθεσης.
- Μπορεί να συνδυαστεί με VPN (π.χ., WireGuard, OpenVPN) για τη δημιουργία ενός ασφαλούς ιδιωτικού δικτύου.
- Υποστηρίζει την ανάλυση κεφαλίδων X-Forwarded-For, κατάλληλη για SPA σε περιβάλλον HTTP.
4. Πόσο ασφαλές είναι το PortGuard;
Η ασφάλεια του PortGuard εξαρτάται κυρίως από τον μηχανισμό εξουσιοδότησης ενός πακέτου (SPA) του fwknop, σε συνδυασμό με κρυπτογράφηση, έλεγχο ταυτότητας και ενσωμάτωση τείχους προστασίας, παρέχοντας προστασία πολλαπλών επιπέδων. Ακολουθεί μια λεπτομερής ανάλυση της ασφάλειας:
4.1 Κρυπτογράφηση και Έλεγχος Πιστοποίησης
Κρυπτογράφηση: Το fwknop υποστηρίζει συμμετρική κρυπτογράφηση Rijndael (AES) ή ασύμμετρη κρυπτογράφηση GnuPG και το περιεχόμενο του πακέτου δεδομένων SPA δεν μπορεί να αναλυθεί απευθείας.
Πιστοποίηση: Χρησιμοποιήστε HMAC-SHA256 (προεπιλογή) ή νεότερες εκδόσεις για τον έλεγχο ταυτότητας πακέτων δεδομένων, διασφαλίζοντας την ακεραιότητα των δεδομένων και την αξιοπιστία της πηγής.
Ασφάλεια: Αποτροπή επιθέσεων man-in-the-middle (MITM) και replay, εφαρμογή HMAC μετά την κρυπτογράφηση, αντίσταση σε επιθέσεις oracle με συμπλήρωση σε λειτουργία CBC (π.χ. επιθέσεις Vaudenay).
Περιορισμοί: Η συμμετρική κρυπτογράφηση απαιτεί κοινόχρηστα κλειδιά πελάτη και διακομιστή, η ακατάλληλη διαχείριση κλειδιών μπορεί να οδηγήσει σε διαρροή. Η λειτουργία GnuPG απαιτεί τη διατήρηση μπρελόκ.
4.2 Αποτροπή σάρωσης θυρών
Μηχανισμός: Το PortGuard χρησιμοποιεί την προεπιλεγμένη πολιτική τείχους προστασίας απόρριψης και η θύρα υπηρεσίας είναι αόρατη όταν δεν είναι εξουσιοδοτημένη, επομένως το Nmap και άλλα εργαλεία δεν μπορούν να την εντοπίσουν.
Ασφάλεια: Μειώνει σημαντικά την επιφάνεια επίθεσης, ακόμη και αν υπάρχουν τρωτά σημεία zero-day, οι εισβολείς δεν μπορούν να εντοπίσουν τη θύρα υπηρεσίας.
Περιορισμοί: Εάν το πακέτο δεδομένων knock γίνει αντιληπτό (το παραδοσιακό port knocking είναι πιο ευάλωτο σε αυτό), οι εισβολείς ενδέχεται να επιχειρήσουν επανάληψη (το SPA έχει λύσει αυτό το πρόβλημα μέσω του HMAC).
4.3 Αντίσταση στην ωμή βία
Μηχανισμός: Τα πακέτα δεδομένων SPA πρέπει να κρυπτογραφηθούν σωστά και να γίνει έλεγχος ταυτότητας HMAC, η χρήση ωμής βίας είναι σχεδόν αδύνατη (τα πακέτα δεδομένων με αποτυχημένο HMAC απορρίπτονται απευθείας).
Ασφάλεια: Σε σύγκριση με το παραδοσιακό χτύπημα θύρας, ο σχεδιασμός ενός πακέτου και ο μηχανισμός κρυπτογράφησης της SPA βελτιώνουν σημαντικά την ικανότητα αντοχής στην ωμή βία.
Περιορισμοί: Τα σφάλματα διαμόρφωσης (π.χ., αδύναμα κλειδιά ή απενεργοποιημένο HMAC) ενδέχεται να μειώσουν την ασφάλεια.
✨ Χαρακτηριστικά
Άνθρωποι ❤️ Fwknop
John
Michael
James
David
Olivia
William