Yhden paketin valtuutus
PortGuard
PortGuard tarjoaa vankan yhden paketin valtuutustekniikan suojaamaan verkkoasi luvattomalta käytöltä, mukaan lukien porttitarkistusuhkilta.
Lataa nyt, Multi-Platform GUI
Multi-Platform GUI
Lataa Windowsille
fwknopc_2_6_11_x64-setup.exe
Lataa Macosille
fwknopc_2_6_11_x64.pkg
Lataa Androidille
fwknopc_2_6_11_x64.apk
Fwknop-palvelin CentOS7:lle
| Tiedoston nimi | Viimeksi muokattu | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Miksi kehitin PortGuardin?
Kuulin ensimmäisen kerran yksittäisen pakettien valtuutuksen (SPA) käsitteestä satunnaisessa keskustelussa työtovereiden kanssa. Ennen sitä minulla ei ollut tietoa portin koputtauksesta tai SPA:sta. Sattumalta yrityksemme tarvitsi portin koputusratkaisun, ja tutkittuani ja tutkittuani asiaankuuluvaa materiaalia löysin fwknopin. Fwknopin käsite oli todella vaikuttava – palveluille, joiden on oltava vain harvojen ja valittujen käytettävissä, fwknop on erinomainen ratkaisu. Harkitsimme oman työkalun kehittämistä, mutta fwknop oli paljon kypsempi. Fwknopilla on kuitenkin haittapuolensa: se on monimutkainen, sen asennus- ja käyttö on jyrkkää oppimiskäyrää, eikä siitä puutu omaa asiakassovellusta. Tämä johti PortGuardin luomiseen. PortGuardin tavoitteena on tukea valtavirran portin koputusprotokollia, kuten fwknopia ja tulevaisuudessa tnokia, samalla kun se tarjoaa alustojen välisen asiakassovelluksen. Fwknopin ja tnokin laajennuksena rakennettu PortGuard pyrkii tekemään SPA-teknologiasta käyttäjäystävällisempää ja helpommin saavutettavaa.
2. PortGuard-asiakasohjelman tukemat alustat
Tällä hetkellä PortGuard tukee seuraavia alustoja:
- iOS
- Android
- Windows
- macOS
3. PortGuardin käyttötapaukset
PortGuardin ydintoiminto on parantaa verkon tietoturvaa piilottamalla palveluportit (oletusarvoisesti suljettu), ja se sopii seuraaviin tilanteisiin:
3.1 Suojaa etäkäyttöpalvelut (esim. SSH)
Skenaario:Järjestelmänvalvojien on voitava käyttää SSH-palveluita turvallisesti eri sijainneista (esim. kotoa, kahvilasta, mobiiliverkosta) paljastamatta SSH-porttia julkiselle verkolle.
Toteutus: Käytä fwknop- tai tnok-komentoa. Asiakas lähettää SPA-datapaketteja tai TOTP-knock-paketteja, ja palvelin tarkistaa ja avaa SSH-portin (oletusarvo 22) väliaikaisesti vahvistuksen jälkeen.
Edut: Estää Nmapia ja muita porttiskannaustyökaluja löytämästä palveluita, mikä vähentää nollapäivähaavoittuvuuksien hyväksikäytön riskiä.
Esimerkki: Etätiimin jäsenet käyttävät fwknop-asiakasohjelmaa SPA-datapakettien lähettämiseen Windows- tai Android-laitteilla ja käyttävät turvallisesti yrityksen sisäisiä palvelimia.
3.2 Palvelun suojaus pilviympäristöissä
Skenaario:AWS:n, Azuren ja muiden pilvialustojen sisäisiin palveluihin (esim. tietokantoihin ja web-palvelimiin) on päästävä julkisen verkon kautta, mutta porttien suoraa altistumista on vältettävä.
Toteutus: PortGuard integroituu NAT:n kanssa, jotta ulkoiset asiakkaat voivat käyttää RFC 1918 -osoiteavaruuden sisäisiä palveluita SPA:n kautta.
Edut: Tukee monimutkaisia verkkotopologioita, jotka sopivat hybridipilvi- ja usean käyttäjän ympäristöihin.
Esimerkki: Suorita fwknopd AWS EC2 -instansseissa ja avaa MySQL-portti (3306) dynaamisesti valtuutettujen käyttäjien käyttöön.
3.3 Puolustaudu porttiskannausta ja raa'aa voimaa vastaan
Skenaario:Palvelimet kohtaavat porttiskannausta (esim. Nmap) tai raa'an voiman hyökkäyksiä, ja niiden on piilotettava palveluportit hyökkäyspinnan pienentämiseksi.
Toteutus: PortGuard ylläpitää oletusarvoista palomuurikäytäntöä ja avaa portteja vasta vastaanotettuaan kelvollisia SPA-datapaketteja.
Edut: Vaikka haavoittuvuuksia ei olisi korjattu, hyökkääjät eivät pysty löytämään palveluportteja.
Esimerkki: Estää SSH:n raa'an voiman, fwknop avaa portteja vasta HMAC:n varmentamisen jälkeen.
3.4 Tuki useiden palveluiden suojaukselle
Skenaario:Yritysten on suojattava useita palveluita (esim. SSH, RDP, VPN, tietokanta), mutta ne eivät halua kaikkien porttien olevan auki koko ajan.
Toteutus: fwknop tukee useiden palveluiden ja porttien määrittämistä access.conf-tiedostossa, ja asiakas voi määrittää kohdeprotokollan ja -portin.
Edut: Joustava sääntöjen konfigurointi, tuki mukautetuille aikakatkaisuille ja portin avausstrategioille.
Esimerkki: Määritä fwknop suojaamaan sekä SSH:ta (tcp/22) että OpenVPN:ää (udp/1194).
3.5 Sulautettujen tai IoT-laitteiden tietoturva
Skenaario:IoT-laitteet tai sulautetut järjestelmät tarvitsevat etähallintaa, mutta laitteiden resurssit ovat rajalliset ja alttiita hyökkäyksille.
Toteutus: Suorita kevyttä fwknopd- tai tnokd-komentoa resurssirajoitteisilla laitteilla ja hallitse käyttöoikeuksia SPA:n tai TOTP:n kautta.
Edut: Alhainen resurssien kulutus, sopii pienille laitteille.
Esimerkki: Suojaa Raspberry Pillä käynnissä oleva verkkopalvelu.
3.6 Kolmannen osapuolen laitteiden integrointi
Skenaario:Tarve integroida laitteisiin, jotka eivät tue natiivia fwknopia (esim. Ciscon reitittimet), ja hallita palomuurisääntöjä.
Toteutus: fwknopin komentojen avaus-/sulkemissykliominaisuus (komennon avaus/sulkemissykli) mahdollistaa mukautettujen komentosarjojen suorittamisen kolmannen osapuolen laitteiden ACL:n dynaamiseksi muokkaamiseksi.
Edut: Laajennettavissa, tukee epästandardeja palomuurilaitteita.
Esimerkki: Suorita fwknopd Linux-palvelimilla ja päivitä Ciscon reitittimien ACL SSH:n kautta.
3.7 Tekniset tiedot
- fwknop tukee aikakatkaisun määrittämistä (CMD_CYCLE_TIMER), portin avoin sulkeutuu automaattisesti, mikä lyhentää valotusaikaa.
- Voidaan yhdistää VPN:ään (esim. WireGuard, OpenVPN) turvallisen yksityisen verkon rakentamiseksi.
- Tukee X-Forwarded-For-otsikkojäsennystä, sopii SPA:lle HTTP-ympäristössä.
4. Kuinka turvallinen PortGuard on?
PortGuardin tietoturva perustuu ensisijaisesti fwknopin yksittäisten pakettien valtuutusmekanismiin (SPA), joka yhdistetään salaukseen, todennukseen ja palomuuriintegraatioon, mikä tarjoaa monikerroksisen suojauksen. Seuraavassa on yksityiskohtainen analyysi tietoturvasta:
4.1 Salaus ja todennus
Salaus: fwknop tukee Rijndael (AES) -salausta tai GnuPG:n epäsymmetristä salausta, eikä SPA-datapaketin sisältöä voida jäsentää suoraan.
Todennus: Käytä HMAC-SHA256:ta (oletus) tai uudempaa versiota datapakettien todennukseen varmistaaksesi datan eheyden ja lähteen luotettavuuden.
Turvallisuus: Estää välikäden (MITM) ja toistohyökkäykset, HMAC:n soveltamisen salauksen jälkeen, CBC-tilan täyteoraakkelihyökkäysten (esim. Vaudenay-hyökkäysten) torjunta.
Rajoitukset: Symmetrinen salaus edellyttää asiakkaan ja palvelimen jaettuja avaimia, virheellinen avainten hallinta voi johtaa vuotoihin; GnuPG-tila vaatii avainrenkaiden ylläpitoa.
4.2 Estä porttiskannaus
Mekanismi: PortGuard käyttää oletusarvoista palomuurikäytäntöä, ja palveluportti on näkymätön, jos sitä ei ole valtuutettu, joten Nmap ja muut työkalut eivät voi havaita sitä.
Turvallisuus: Pienentää hyökkäyspinta-alaa merkittävästi, vaikka nollapäivähaavoittuvuuksia olisikin, hyökkääjät eivät voi paikantaa palveluporttia.
Rajoitukset: Jos porttilukudatapaketti nuuskitaan (perinteinen portin porttiluku on alttiimpi tälle), hyökkääjät voivat yrittää toistaa sen (SPA on ratkaissut tämän ongelman HMAC:n avulla).
4.3 Vastusta raakaa voimaa
Mekanismi: SPA-datapaketit on salattava oikein ja HMAC-todennettava. Raaka voima -hyökkäys on lähes mahdotonta (viallisen HMAC-todennuksen sisältävät datapaketit hylätään suoraan).
Turvallisuus: Perinteiseen portin koputtaukseen verrattuna SPA:n yksittäispakettisuunnittelu ja salausmekanismi parantavat merkittävästi kykyä vastustaa raa'an voiman hyökkäyksiä.
Rajoitukset: Kokoonpanovirheet (esim. heikot avaimet tai käytöstä poistettu HMAC) voivat heikentää tietoturvaa.
✨ Ominaisuudet
Ihmiset ❤️ Fwknop
John
Michael
James
David
Olivia
William