Autorizacija pojedinačnog paketa
PortGuard
PortGuard nudi robusnu tehnologiju autorizacije jednog paketa za zaštitu vaše mreže od neovlaštenog pristupa, uključujući prijetnje skeniranjem portova.
Preuzmite sada, GUI za više platformi
GUI za više platformi
Preuzmite za Windows
fwknopc_2_6_11_x64-setup.exe
Preuzmite za Macos
fwknopc_2_6_11_x64.pkg
Preuzmite za Android
fwknopc_2_6_11_x64.apk
Fwknop poslužitelj za CentOS7
| Naziv datoteke | Zadnja izmjena | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Zašto sam razvio PortGuard?
Prvi put sam saznao za koncept autorizacije pojedinačnog paketa (SPA) tijekom ležernog razgovora s kolegama na poslu. Prije toga nisam imao znanja o port knockingu ili SPA-i. Slučajno je našoj tvrtki trebalo rješenje za port knocking, te sam nakon istraživanja i proučavanja relevantnih materijala otkrio fwknop. Koncept fwknopa bio je zaista impresivan - za usluge koje moraju biti dostupne samo odabranima, fwknop je izvrsno rješenje. Razmišljali smo o razvoju vlastitog alata, ali fwknop je bio daleko zreliji. Međutim, fwknop ima svoje nedostatke: složen je, sa strmom krivuljom učenja za instalaciju i korištenje, te mu nedostaje namjenska klijentska aplikacija. To je dovelo do stvaranja PortGuarda. Cilj PortGuarda je podržati glavne protokole za port knocking poput fwknopa i, u budućnosti, tnoka, a istovremeno pružiti klijenta za više platformi. Izgrađen kao proširenje fwknopa i tnoka, PortGuard ima za cilj učiniti SPA tehnologiju jednostavnijom za korištenje i pristupačnijom.
2. Platforme koje podržava PortGuard klijent
Trenutno, PortGuard podržava sljedeće platforme:
- iOS
- Android
- Windows
- macOS
3. Primjeri upotrebe PortGuarda
Osnovna funkcionalnost PortGuarda je poboljšanje mrežne sigurnosti skrivanjem servisnih portova (zadano su zatvoreni) i prikladan je za sljedeće scenarije:
3.1 Zaštitite usluge udaljenog pristupa (npr. SSH)
Scenarij:Administratori trebaju sigurno pristupiti SSH uslugama s različitih lokacija (npr. od kuće, iz kafića, s mobilne mreže) bez izlaganja SSH porta javnoj mreži.
Implementacija: Koristite fwknop ili tnok, klijent šalje SPA podatkovne pakete ili TOTP knock pakete, a poslužitelj provjerava i privremeno otvara SSH port (zadano 22) nakon provjere.
Prednosti: Spriječite Nmap i druge alate za skeniranje portova da otkrivaju servise, smanjujući rizik od iskorištavanja zero-day ranjivosti.
Primjer: Udaljeni članovi tima koriste fwknop klijent za slanje SPA podatkovnih paketa na Windows ili Android uređajima, siguran pristup internim poslužiteljima tvrtke.
3.2 Zaštita usluga u okruženjima oblaka
Scenarij:Internim uslugama (npr. bazama podataka, web poslužiteljima) u AWS-u, Azureu i drugim cloud platformama potrebno je pristupiti putem javne mreže, ali treba izbjegavati izravno izlaganje portova.
Implementacija: PortGuard se integrira s NAT-om kako bi vanjskim klijentima omogućio pristup internim uslugama u RFC 1918 adresnom prostoru putem SPA-e.
Prednosti: Podržava složene mrežne topologije, pogodne za hibridni oblak i okruženja s više zakupaca.
Primjer: Pokrenite fwknopd na AWS EC2 instancama, dinamički otvorite MySQL port (3306) za pristup ovlaštenih korisnika.
3.3 Zaštita od skeniranja portova i brute forcea
Scenarij:Poslužitelji se suočavaju sa skeniranjem portova (npr. Nmap) ili napadima grubom silom te moraju sakriti servisne portove kako bi smanjili površinu napada.
Implementacija: PortGuard održava zadanu politiku otpuštanja vatrozida, otvarajući portove samo nakon što primi valjane SPA podatkovne pakete.
Prednosti: Čak i ako postoje nezakrpane ranjivosti, napadači ne mogu otkriti servisne portove.
Primjer: Spriječi SSH brute force, fwknop otvara portove samo nakon provjere HMAC-a.
3.4 Podrška za zaštitu više usluga
Scenarij:Poduzeća trebaju zaštititi više servisa (npr. SSH, RDP, VPN, bazu podataka), ali ne žele da svi portovi budu otvoreni cijelo vrijeme.
Implementacija: fwknop podržava definiranje više servisa i portova u access.conf datoteci, a klijent može odrediti ciljni protokol i port.
Prednosti: Fleksibilna konfiguracija pravila, podrška za prilagođeno vremensko ograničenje i strategije otvaranja portova.
Primjer: Konfigurirajte fwknop za zaštitu i SSH (tcp/22) i OpenVPN-a (udp/1194).
3.5 Sigurnost ugrađenih ili IoT uređaja
Scenarij:IoT uređaji ili ugrađeni sustavi trebaju daljinsko upravljanje, ali resursi uređaja su ograničeni i ranjivi na napade.
Implementacija: Pokrenite lagani fwknopd ili tnokd na uređajima s ograničenim resursima, kontrolirajte pristup putem SPA ili TOTP.
Prednosti: Niska potrošnja resursa, pogodno za male uređaje.
Primjer: Zaštitite web servis koji radi na Raspberry Pi-ju.
3.6 Integracija uređaja trećih strana
Scenarij:Potrebno je integrirati se s uređajima koji ne podržavaju izvorni fwknop (npr. Cisco usmjerivači), kontrolirati pravila vatrozida.
Implementacija: Funkcija naredbe otvaranja/zatvaranja ciklusa (command open/close cycle) u fwknop omogućuje izvršavanje prilagođenih skripti za dinamičku izmjenu ACL-a uređaja trećih strana.
Prednosti: Proširivo, podržava nestandardne uređaje za zaštitni zid.
Primjer: Pokrenite fwknopd na Linux serverima, ažurirajte ACL Cisco rutera putem SSH-a.
3.7 Tehnički detalji
- fwknop podržava definiranje vremenskog ograničenja (CMD_CYCLE_TIMER), otvaranje porta se automatski zatvara, smanjujući vrijeme izloženosti.
- Može se kombinirati s VPN-om (npr. WireGuard, OpenVPN) za izgradnju sigurne privatne mreže.
- Podržava X-Forwarded-For parsiranje zaglavlja, pogodno za SPA u HTTP okruženju.
4. Koliko je PortGuard siguran?
Sigurnost PortGuarda prvenstveno ovisi o mehanizmu autorizacije pojedinačnih paketa (SPA) fwknopa, u kombinaciji s enkripcijom, autentifikacijom i integracijom vatrozida, pružajući višeslojnu zaštitu. Slijedi detaljna analiza sigurnosti:
4.1 Šifriranje i autentifikacija
Šifriranje: fwknop podržava Rijndael (AES) simetrično šifriranje ili GnuPG asimetrično šifriranje, a sadržaj SPA podatkovnog paketa ne može se izravno analizirati.
Autentifikacija: Za autentifikaciju podatkovnih paketa koristite HMAC-SHA256 (zadano) ili novije verzije, osiguravajući integritet podataka i povjerenje izvora.
Sigurnost: Sprječava napade tipa čovjek u sredini (MITM) i napade ponavljanjem, HMAC se primjenjuje nakon enkripcije, odupire se napadima orakula s dodavanjem CBC načina rada (npr. Vaudenay napadima).
Ograničenja: Simetrično šifriranje zahtijeva dijeljene ključeve klijenta i poslužitelja, nepravilno upravljanje ključevima može dovesti do curenja; GnuPG način rada zahtijeva održavanje prstenova za ključeve,
4.2 Sprječavanje skeniranja portova
Mehanizam: PortGuard koristi zadanu politiku drop firewalla, a servisni port je nevidljiv kada nije autoriziran, tako da ga Nmap i drugi alati ne mogu otkriti.
Sigurnost: Značajno smanjuje površinu napada, čak i ako postoje zero-day ranjivosti, napadači ne mogu pronaći servisni port.
Ograničenja: Ako se paket podataka o knocku (tradicionalno knockanje porta je podložnije tome), napadači mogu pokušati ponovno reproducirati (SPA je riješio ovaj problem putem HMAC-a).
4.3 Otpor brutalnoj sili
Mehanizam: SPA podatkovni paketi moraju biti ispravno šifrirani i HMAC autentificirani, brute force je gotovo nemoguć (podatkovni paketi s neispravnim HMAC-om se izravno odbacuju).
Sigurnost: U usporedbi s tradicionalnim port knockingom, SPA-ov dizajn jednog paketa i mehanizam šifriranja značajno poboljšavaju sposobnost otpora brutalnoj sili.
Ograničenja: Pogreške u konfiguraciji (npr. slabi ključevi ili onemogućeni HMAC) mogu smanjiti sigurnost.
✨ Značajke
Ljudi ❤️ Fwknop
John
Michael
James
David
Olivia
William