تفويض الحزمة الفردية
PortGuard
توفر PortGuard تقنية ترخيص حزمة واحدة قوية لحماية شبكتك من الوصول غير المصرح به، بما في ذلك تهديدات فحص المنافذ.
قم بالتنزيل الآن، واجهة مستخدم رسومية متعددة المنصات
واجهة المستخدم الرسومية متعددة المنصات
تنزيل لنظام التشغيل Windows
fwknopc_2_6_11_x64-setup.exe
تنزيل لنظام MacOS
fwknopc_2_6_11_x64.pkg
تنزيل لنظام أندرويد
fwknopc_2_6_11_x64.apk
خادم Fwknop لنظام CentOS7
| اسم الملف | آخر تعديل | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. لماذا قمت بتطوير PortGuard؟
تعرفتُ لأول مرة على مفهوم تفويض الحزمة الواحدة (SPA) خلال محادثة عابرة مع زملائي في العمل. قبل ذلك، لم أكن أعرف شيئًا عن طرق المنافذ أو SPA. صادف أن شركتنا كانت بحاجة إلى حل لطرق المنافذ، وبعد البحث واستكشاف المواد ذات الصلة، اكتشفتُ fwknop. كان مفهوم fwknop مثيرًا للإعجاب حقًا - فهو حل ممتاز للخدمات التي لا يحتاج الوصول إليها إلا لقلة مختارة. فكرنا في تطوير أداة خاصة بنا، لكن fwknop كان أكثر نضجًا بكثير. ومع ذلك، فإن fwknop له عيوبه: فهو معقد، ويتطلب منحنى تعلم حادًا للتثبيت والاستخدام، ويفتقر إلى تطبيق عميل مخصص. أدى هذا إلى إنشاء PortGuard. يهدف PortGuard إلى دعم بروتوكولات طرق المنافذ الشائعة مثل fwknop، وفي المستقبل، tnok، مع توفير عميل متعدد المنصات. تم إنشاء PortGuard باعتباره امتدادًا لـ fwknop و tnok، ويهدف إلى جعل تقنية SPA أكثر سهولة في الاستخدام ويمكن الوصول إليها.
2. المنصات المدعومة من قبل عملاء PortGuard
يدعم PortGuard حاليًا المنصات التالية:
- iOS
- Android
- Windows
- macOS
3. حالات استخدام PortGuard
تتمثل الوظيفة الأساسية لبرنامج PortGuard في تعزيز أمان الشبكة عن طريق إخفاء منافذ الخدمة (مغلقة افتراضيًا)، وهي مناسبة للسيناريوهات التالية:
3.1 حماية خدمات الوصول عن بعد (مثل SSH)
السيناريو:يحتاج المسؤولون إلى الوصول بشكل آمن إلى خدمات SSH من مواقع مختلفة (على سبيل المثال، المنزل، أو المقهى، أو شبكة الهاتف المحمول) دون تعريض منفذ SSH للشبكة العامة.
تطبيق: استخدم fwknop أو tnok، ويقوم العميل بإرسال حزم بيانات SPA أو حزم TOTP knock، ويقوم الخادم بالتحقق ويفتح منفذ SSH مؤقتًا (الافتراضي 22) بعد التحقق.
المزايا: منع Nmap وأدوات فحص المنافذ الأخرى من اكتشاف الخدمات، مما يقلل من خطر استغلال الثغرات الأمنية التي لا يمكن اكتشافها.
مثال: يستخدم أعضاء الفريق عن بعد عميل fwknop لإرسال حزم بيانات SPA على أجهزة Windows أو Android، للوصول بشكل آمن إلى خوادم الشركة الداخلية.
3.2 حماية الخدمة في بيئات السحابة
السيناريو:يجب الوصول إلى الخدمات الداخلية (مثل قواعد البيانات وخوادم الويب) في AWS وAzure ومنصات السحابة الأخرى من خلال الشبكة العامة، ولكن يجب تجنب تعرض المنافذ بشكل مباشر.
تطبيق: يتكامل PortGuard مع NAT للسماح للعملاء الخارجيين بالوصول إلى الخدمات الداخلية في مساحة عنوان RFC 1918 من خلال SPA.
المزايا: يدعم طوبولوجيات الشبكة المعقدة، وهو مناسب للبيئات السحابية الهجينة ومتعددة المستأجرين.
مثال: قم بتشغيل fwknopd على مثيلات AWS EC2، وافتح منفذ MySQL (3306) بشكل ديناميكي ليتمكن المستخدمون المصرح لهم من الوصول إليه.
3.3 الدفاع ضد فحص المنافذ والقوة الغاشمة
السيناريو:تواجه الخوادم فحص المنافذ (على سبيل المثال، Nmap) أو هجمات القوة الغاشمة، وتحتاج إلى إخفاء منافذ الخدمة لتقليل سطح الهجوم.
تطبيق: يحافظ PortGuard على سياسة جدار الحماية الافتراضية، ويفتح المنافذ فقط بعد تلقي حزم بيانات SPA صالحة.
المزايا: حتى لو كانت هناك ثغرات أمنية غير مُرقعة، فلن يتمكن المهاجمون من اكتشاف منافذ الخدمة.
مثال: منع استخدام القوة الغاشمة عبر SSH، حيث يقوم fwknop بفتح المنافذ فقط بعد التحقق من HMAC.
3.4 دعم حماية الخدمات المتعددة
السيناريو:تحتاج المؤسسات إلى حماية خدمات متعددة (على سبيل المثال، SSH، وRDP، وVPN، وقاعدة البيانات) ولكنها لا تريد أن تكون جميع المنافذ مفتوحة طوال الوقت.
تطبيق: يدعم fwknop تعريف خدمات ومنافذ متعددة في access.conf، ويمكن للعميل تحديد البروتوكول والمنفذ المستهدف.
المزايا: تكوين قاعدة مرنة، ودعم مهلة زمنية مخصصة واستراتيجيات فتح المنفذ.
مثال: قم بتكوين fwknop لحماية كل من SSH (tcp/22) و OpenVPN (udp/1194).
3.5 أمان الأجهزة المضمنة أو أجهزة إنترنت الأشياء
السيناريو:تحتاج أجهزة إنترنت الأشياء أو الأنظمة المضمنة إلى إدارة عن بعد، ولكن موارد الجهاز محدودة وعرضة للهجمات.
تطبيق: قم بتشغيل fwknopd أو tnokd خفيف الوزن على الأجهزة ذات الموارد المحدودة، والتحكم في الوصول عبر SPA أو TOTP.
المزايا: استهلاك منخفض للموارد، مناسب للأجهزة الصغيرة.
مثال: حماية خدمة الويب التي تعمل على Raspberry Pi.
3.6 تكامل أجهزة الطرف الثالث
السيناريو:يجب التكامل مع الأجهزة التي لا تدعم fwknop الأصلي (على سبيل المثال، أجهزة توجيه Cisco)، والتحكم في قواعد جدار الحماية.
تطبيق: تتيح ميزة دورة فتح/إغلاق الأوامر (دورة فتح/إغلاق الأوامر) في fwknop تنفيذ البرامج النصية المخصصة لتعديل قائمة التحكم في الوصول (ACL) للأجهزة التابعة لجهات خارجية بشكل ديناميكي.
المزايا: قابلة للتوسع، وتدعم أجهزة جدار الحماية غير القياسية.
مثال: قم بتشغيل fwknopd على خوادم Linux، وقم بتحديث قائمة التحكم بالوصول (ACL) لأجهزة توجيه Cisco عبر SSH.
3.7 التفاصيل الفنية
- يدعم fwknop تحديد مهلة زمنية (CMD_CYCLE_TIMER)، ويتم إغلاق المنفذ المفتوح تلقائيًا، مما يقلل من وقت التعرض.
- يمكن دمجه مع VPN (على سبيل المثال، WireGuard، OpenVPN) لبناء شبكة خاصة آمنة.
- يدعم تحليل رأس X-Forwarded-For، وهو مناسب لتطبيقات SPA في بيئة HTTP.
4. ما مدى أمان PortGuard؟
يعتمد أمان PortGuard بشكل أساسي على آلية تفويض الحزمة الواحدة (SPA) الخاصة بـ fwknop، بالإضافة إلى التشفير والمصادقة وتكامل جدار الحماية، مما يوفر حماية متعددة الطبقات. فيما يلي تحليل مفصل للأمان:
4.1 التشفير والمصادقة
التشفير: يدعم fwknop تشفير Rijndael (AES) المتماثل أو تشفير GnuPG غير المتماثل، ولا يمكن تحليل محتوى حزمة بيانات SPA بشكل مباشر.
المصادقة: استخدم HMAC-SHA256 (الافتراضي) أو الإصدارات الأعلى لمصادقة حزمة البيانات، مما يضمن سلامة البيانات وثقة المصدر.
حماية: منع هجمات الرجل في المنتصف (MITM) وإعادة التشغيل، وتطبيق HMAC بعد التشفير، ومقاومة هجمات Oracle الخاصة بوضع CBC (على سبيل المثال، هجمات Vaudenay).
القيود: يتطلب التشفير المتماثل مفاتيح مشتركة بين العميل والخادم، وقد تؤدي إدارة المفاتيح غير السليمة إلى التسريب؛ ويتطلب وضع GnuPG الحفاظ على حلقات المفاتيح،
4.2 منع فحص المنفذ
الآلية: يستخدم PortGuard سياسة جدار الحماية الافتراضية، ومنفذ الخدمة غير مرئي عند عدم الترخيص، وبالتالي لا يمكن لـ Nmap والأدوات الأخرى اكتشافه.
حماية: يقلل بشكل كبير من سطح الهجوم، حتى لو كانت هناك ثغرات أمنية في اليوم صفر، فلن يتمكن المهاجمون من تحديد منفذ الخدمة.
القيود: إذا تم استنشاق حزمة بيانات الطرق (طرق المنفذ التقليدي أكثر عرضة لذلك)، فقد يحاول المهاجمون إعادة التشغيل (لقد حلت SPA هذه المشكلة من خلال HMAC).
4.3 مقاومة القوة الغاشمة
الآلية: يجب تشفير حزم بيانات SPA بشكل صحيح ومصادقة HMAC، حيث أن استخدام القوة الغاشمة أمر مستحيل تقريبًا (يتم تجاهل حزم البيانات التي تحتوي على HMAC فاشلة مباشرةً).
حماية: بالمقارنة مع طرق المنفذ التقليدي، فإن تصميم الحزمة الفردية وآلية التشفير في SPA تعمل على تحسين القدرة على مقاومة القوة الغاشمة بشكل كبير.
القيود: قد تؤدي أخطاء التكوين (على سبيل المثال، المفاتيح الضعيفة أو تعطيل HMAC) إلى تقليل الأمان.
✨ سمات
الناس ❤️ فوكنوب
John
Michael
James
David
Olivia
William