単一パケット認証
PortGuard
PortGuard は、ポート スキャンの脅威などの不正アクセスからネットワークを保護するための強力な単一パケット認証テクノロジを提供します。
今すぐダウンロード、マルチプラットフォームGUI
マルチプラットフォームGUI
Windows用ダウンロード
fwknopc_2_6_11_x64-setup.exe
MacOS用ダウンロード
fwknopc_2_6_11_x64.pkg
Android用にダウンロード
fwknopc_2_6_11_x64.apk
CentOS7 用 Fwknop サーバー
| ファイル名 | 最終更新日 | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. PortGuard を開発した理由
SPA（Single Packet Authorization）の概念を初めて知ったのは、職場の同僚との何気ない会話の中でした。それまでは、ポートノッキングやSPAについては全く知りませんでした。たまたま会社でポートノッキングソリューションが必要になり、関連資料を調査・検討した結果、fwknopを発見しました。fwknopのコンセプトには本当に感銘を受けました。限られた人数だけがアクセスできるようにする必要があるサービスにとって、fwknopは優れたソリューションです。独自のツール開発も検討しましたが、fwknopの方がはるかに成熟していました。しかし、fwknopには欠点もありました。複雑で、インストールと使用方法を習得するのが難しく、専用のクライアントアプリケーションもありませんでした。これがPortGuardの開発につながりました。PortGuardの目標は、クロスプラットフォームクライアントを提供しながら、fwknopや将来的にはtnokなどの主流のポートノッキングプロトコルをサポートすることです。 PortGuard は fwknop と tnok の拡張機能として構築され、SPA テクノロジーをよりユーザーフレンドリーでアクセスしやすいものにすることを目的としています。
2. PortGuardクライアントがサポートするプラットフォーム
現在、PortGuard は次のプラットフォームをサポートしています。
- iOS
- Android
- Windows
- macOS
3. PortGuardのユースケース
PortGuard のコア機能は、サービス ポートを非表示にする (デフォルトでは閉じている) ことでネットワーク セキュリティを強化することであり、次のシナリオに適しています。
3.1 リモート アクセス サービス (SSH など) を保護する
シナリオ： 管理者は、SSH ポートをパブリック ネットワークに公開することなく、さまざまな場所 (自宅、コーヒー ショップ、モバイル ネットワークなど) から SSH サービスに安全にアクセスする必要があります。
実装： fwknop または tnok を使用すると、クライアントは SPA データ パケットまたは TOTP ノック パケットを送信し、サーバーは検証して、検証後に SSH ポート (デフォルトは 22) を一時的に開きます。
利点: Nmap やその他のポート スキャン ツールによるサービスの検出を防ぎ、ゼロデイ脆弱性が悪用されるリスクを軽減します。
例： リモート チーム メンバーは fwknop クライアントを使用して Windows または Android デバイスで SPA データ パケットを送信し、会社の内部サーバーに安全にアクセスします。
3.2 クラウド環境におけるサービス保護
シナリオ： AWS、Azure、その他のクラウド プラットフォームの内部サービス (データベース、Web サーバーなど) にはパブリック ネットワーク経由でアクセスする必要がありますが、ポートが直接公開されないようにする必要があります。
実装： PortGuard は NAT と統合され、外部クライアントが SPA を介して RFC 1918 アドレス空間内の内部サービスにアクセスできるようになります。
利点: ハイブリッド クラウドやマルチテナント環境に適した複雑なネットワーク トポロジをサポートします。
例： AWS EC2 インスタンスで fwknopd を実行し、承認されたユーザーがアクセスできるように MySQL ポート (3306) を動的に開きます。
3.3 ポートスキャンとブルートフォース攻撃に対する防御
シナリオ： サーバーはポートスキャン (Nmap など) やブルートフォース攻撃を受ける可能性があるため、攻撃対象領域を減らすためにサービス ポートを非表示にする必要があります。
実装： PortGuard はデフォルトのドロップ ファイアウォール ポリシーを維持し、有効な SPA データ パケットを受信した後にのみポートを開きます。
利点: パッチが適用されていない脆弱性があったとしても、攻撃者はサービス ポートを発見できません。
例： SSH ブルートフォースを防止し、fwknop は HMAC を検証した後にのみポートを開きます。
3.4 複数のサービス保護をサポート
シナリオ： 企業は複数のサービス (SSH、RDP、VPN、データベースなど) を保護する必要がありますが、すべてのポートを常に開いたままにしておく必要はありません。
実装： fwknop は access.conf で複数のサービスとポートを定義することをサポートしており、クライアントはターゲット プロトコルとポートを指定できます。
利点: 柔軟なルール構成、カスタム タイムアウトおよびポート オープン戦略をサポートします。
例： SSH (tcp/22) と OpenVPN (udp/1194) の両方を保護するように fwknop を設定します。
3.5 組み込みデバイスまたはIoTデバイスのセキュリティ
シナリオ： IoT デバイスや組み込みシステムにはリモート管理が必要ですが、デバイスのリソースは限られており、攻撃に対して脆弱です。
実装： リソースが制限されたデバイスで軽量の fwknopd または tnokd を実行し、SPA または TOTP を介してアクセスを制御します。
利点: リソース消費量が少なく、小型デバイスに適しています。
例： Raspberry Pi 上で実行されている Web サービスを保護します。
3.6 サードパーティ製デバイスの統合
シナリオ： ネイティブ fwknop (Cisco ルータなど) をサポートしていないデバイスと統合し、ファイアウォール ルールを制御する必要があります。
実装： fwknop のコマンド オープン/クローズ サイクル (コマンド オープン/クローズ サイクル) 機能を使用すると、カスタム スクリプトを実行してサードパーティ デバイスの ACL を動的に変更できます。
利点: 拡張可能で、非標準のファイアウォール デバイスをサポートします。
例： Linux サーバーで fwknopd を実行し、SSH 経由で Cisco ルーターの ACL を更新します。
3.7 技術的な詳細
- fwknop はタイムアウト (CMD_CYCLE_TIMER) の定義をサポートし、開いているポートが自動的に閉じられるため、露出時間が短縮されます。
- VPN (WireGuard、OpenVPN など) と組み合わせて、安全なプライベート ネットワークを構築できます。
- HTTP 環境の SPA に適した X-Forwarded-For ヘッダー解析をサポートします。
4. PortGuard はどの程度安全ですか?
PortGuardのセキュリティは、主にfwknopのシングルパケット認証（SPA）メカニズムに依存しており、暗号化、認証、ファイアウォール統合を組み合わせることで、多層的な保護を実現します。以下は、セキュリティの詳細な分析です。
4.1 暗号化と認証
暗号化: fwknop は Rijndael (AES) 対称暗号化または GnuPG 非対称暗号化をサポートしており、SPA データ パケットの内容を直接解析することはできません。
認証: データ パケット認証には HMAC-SHA256 (デフォルト) 以上のバージョンを使用し、データの整合性とソースの信頼性を確保します。
安全： 中間者攻撃 (MITM) とリプレイ攻撃を防ぎ、暗号化後に HMAC を適用し、CBC モード パディング オラクル攻撃 (Vaudenay 攻撃など) に抵抗します。
制限事項: 対称暗号化ではクライアントとサーバーの共有鍵が必要であり、不適切な鍵管理は漏洩につながる可能性がある。GnuPGモードでは鍵リングの維持管理が必要である。
4.2 ポートスキャンを防止する
機構： PortGuard はデフォルトのドロップ ファイアウォール ポリシーを使用し、承認されていない場合はサービス ポートが表示されないため、Nmap などのツールでは検出できません。
安全： 攻撃対象領域が大幅に縮小され、ゼロデイ脆弱性があっても、攻撃者はサービス ポートを見つけることができません。
制限事項: ノック データ パケットがスニッフィングされた場合 (従来のポート ノッキングの方が影響を受けやすい)、攻撃者はリプレイを試みる可能性があります (SPA は HMAC を通じてこの問題を解決しました)。
4.3 ブルートフォース攻撃に抵抗する
機構： SPA データ パケットは正しく暗号化され、HMAC 認証される必要があり、ブルート フォース攻撃はほぼ不可能です (HMAC に失敗したデータ パケットは直接破棄されます)。
安全： 従来のポートノッキングと比較して、SPA の単一パケット設計と暗号化メカニズムにより、ブルートフォース攻撃に対する耐性が大幅に向上します。
制限事項: 構成エラー (弱いキーや無効な HMAC など) により、セキュリティが低下する可能性があります。
✨ 特徴
みんな❤️Fwknop
John
Michael
James
David
Olivia
William