Avtorizacija posameznega paketa
PortGuard
PortGuard ponuja robustno tehnologijo avtorizacije z enim paketom za zaščito vašega omrežja pred nepooblaščenim dostopom, vključno z grožnjami skeniranja vrat.
Prenesite zdaj, GUI za več platform
GUI za več platform
Prenos za Windows
fwknopc_2_6_11_x64-setup.exe
Prenos za Macos
fwknopc_2_6_11_x64.pkg
Prenos za Android
fwknopc_2_6_11_x64.apk
Strežnik Fwknop za CentOS7
| Ime datoteke | Zadnja sprememba | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Zakaj sem razvil PortGuard?
Za koncept avtorizacije posameznih paketov (SPA) sem prvič izvedel med neformalnim pogovorom s sodelavci v službi. Pred tem nisem imel znanja o protokolu za dostop do vrat ali SPA. Zgodilo se je, da je naše podjetje potrebovalo rešitev za dostop do vrat, in po raziskovanju in pregledu ustreznih gradiv sem odkril fwknop. Koncept fwknop je bil resnično impresiven – za storitve, ki morajo biti dostopne le redkim izbrancem, je fwknop odlična rešitev. Razmišljali smo o razvoju lastnega orodja, vendar je bil fwknop veliko bolj zrel. Vendar ima fwknop svoje pomanjkljivosti: je zapleten, s strmo krivuljo učenja za namestitev in uporabo ter nima namenske odjemalske aplikacije. To je privedlo do nastanka PortGuarda. Cilj PortGuarda je podpirati glavne protokole za dostop do vrat, kot sta fwknop in v prihodnosti tnok, hkrati pa zagotavljati odjemalca za več platform. PortGuard, zgrajen kot razširitev fwknop in tnok, si prizadeva narediti tehnologijo SPA uporabniku prijaznejšo in dostopnejšo.
2. Platforme, ki jih podpira odjemalec PortGuard
Trenutno PortGuard podpira naslednje platforme:
- iOS
- Android
- Windows
- macOS
3. Primeri uporabe PortGuarda
Osnovna funkcionalnost PortGuarda je izboljšanje omrežne varnosti s skrivanjem servisnih vrat (privzeto so zaprta) in je primeren za naslednje scenarije:
3.1 Zaščita storitev oddaljenega dostopa (npr. SSH)
Scenarij:Skrbniki morajo varno dostopati do storitev SSH z različnih lokacij (npr. od doma, iz kavarne, iz mobilnega omrežja), ne da bi pri tem izpostavili vrata SSH javnemu omrežju.
Izvedba: Z uporabo fwknop ali tnok odjemalec pošlje podatkovne pakete SPA ali TOTP knock pakete, strežnik pa po preverjanju preveri in začasno odpre vrata SSH (privzeto 22).
Prednosti: Preprečite, da bi Nmap in druga orodja za skeniranje vrat odkrila storitve, s čimer zmanjšate tveganje izkoriščanja ranljivosti ničelnega dne.
Primer: Oddaljeni člani ekipe uporabljajo odjemalca fwknop za pošiljanje podatkovnih paketov SPA v napravah Windows ali Android ter varen dostop do notranjih strežnikov podjetja.
3.2 Zaščita storitev v oblačnih okoljih
Scenarij:Do notranjih storitev (npr. podatkovnih baz, spletnih strežnikov) v AWS, Azure in drugih platformah v oblaku je treba dostopati prek javnega omrežja, vendar se je treba izogniti neposredni izpostavljenosti vrat.
Izvedba: PortGuard se integrira z NAT, da zunanjim odjemalcem omogoči dostop do notranjih storitev v naslovnem prostoru RFC 1918 prek SPA.
Prednosti: Podpira kompleksne omrežne topologije, primerne za hibridni oblak in večnajemniška okolja.
Primer: Zaženite fwknopd na instancah AWS EC2 in dinamično odprite vrata MySQL (3306) za dostop pooblaščenih uporabnikov.
3.3 Zaščita pred skeniranjem vrat in uporabo surove sile
Scenarij:Strežniki se soočajo s skeniranjem vrat (npr. Nmap) ali napadi z grobo silo in morajo skriti servisna vrata, da zmanjšajo površino napada.
Izvedba: PortGuard vzdržuje privzeto politiko odpiranja požarnega zidu in vrata odpira le po prejemu veljavnih podatkovnih paketov SPA.
Prednosti: Tudi če obstajajo nepopravljene ranljivosti, napadalci ne morejo odkriti servisnih vrat.
Primer: Prepreči grobo silo SSH, fwknop odpre vrata šele po preverjanju HMAC.
3.4 Podpora za zaščito več storitev
Scenarij:Podjetja morajo zaščititi več storitev (npr. SSH, RDP, VPN, podatkovno bazo), vendar ne želijo, da so vsa vrata ves čas odprta.
Izvedba: fwknop podpira definiranje več storitev in vrat v datoteki access.conf, odjemalec pa lahko določi ciljni protokol in vrata.
Prednosti: Prilagodljiva konfiguracija pravil, podpora za časovne omejitve po meri in strategije odpiranja vrat.
Primer: Konfigurirajte fwknop za zaščito SSH (tcp/22) in OpenVPN (udp/1194).
3.5 Varnost vgrajenih ali internetnih naprav
Scenarij:Naprave interneta stvari ali vgrajeni sistemi potrebujejo oddaljeno upravljanje, vendar so viri naprav omejeni in ranljivi za napade.
Izvedba: Zaženite lahek fwknopd ali tnokd na napravah z omejenimi viri in nadzorujte dostop prek SPA ali TOTP.
Prednosti: Nizka poraba virov, primerna za majhne naprave.
Primer: Zaščitite spletno storitev, ki deluje na Raspberry Pi.
3.6 Integracija naprav tretjih oseb
Scenarij:Potreba po integraciji z napravami, ki ne podpirajo izvornega fwknop-a (npr. usmerjevalniki Cisco), nadzor pravil požarnega zidu.
Izvedba: Funkcija ukaza za odpiranje/zapiranje (ukazni cikel za odpiranje/zapiranje) v programu fwknop omogoča izvajanje skriptov po meri za dinamično spreminjanje ACL-ja naprav drugih proizvajalcev.
Prednosti: Razširljivo, podpira nestandardne požarne zidove.
Primer: Zaženite fwknopd na strežnikih Linux in posodobite ACL usmerjevalnikov Cisco prek SSH.
3.7 Tehnične podrobnosti
- fwknop podpira definiranje časovne omejitve (CMD_CYCLE_TIMER), odprtje vrat se samodejno zapre, kar skrajša čas izpostavljenosti.
- Lahko se kombinira z VPN (npr. WireGuard, OpenVPN) za izgradnjo varnega zasebnega omrežja.
- Podpira razčlenjevanje glave X-Forwarded-For, primerno za SPA v okolju HTTP.
4. Kako varen je PortGuard?
Varnost PortGuarda je v prvi vrsti odvisna od mehanizma za avtorizacijo posameznih paketov (SPA) fwknop, v kombinaciji s šifriranjem, preverjanjem pristnosti in integracijo požarnega zidu, kar zagotavlja večplastno zaščito. Sledi podrobna analiza varnosti:
4.1 Šifriranje in overjanje
Šifriranje: fwknop podpira simetrično šifriranje Rijndael (AES) ali asimetrično šifriranje GnuPG, vsebine podatkovnega paketa SPA pa ni mogoče neposredno razčleniti.
Avtentikacija: Za preverjanje pristnosti podatkovnih paketov uporabite HMAC-SHA256 (privzeto) ali novejše različice, s čimer zagotovite celovitost podatkov in zaupanje v vir.
Varnost: Preprečite napade tipa »človek v sredini« (MITM) in napade ponovnega predvajanja, HMAC se uporabi po šifriranju, kar preprečuje napade orakula z oblazinjenjem v načinu CBC (npr. napadi Vaudenay).
Omejitve: Simetrično šifriranje zahteva skupne ključe odjemalca in strežnika, nepravilno upravljanje ključev lahko povzroči uhajanje; način GnuPG zahteva vzdrževanje obročev za ključe,
4.2 Preprečevanje skeniranja vrat
Mehanizem: PortGuard uporablja privzeto politiko požarnega zidu za brisanje, servisna vrata pa so nevidna, če niso avtorizirana, zato jih Nmap in druga orodja ne morejo zaznati.
Varnost: Znatno zmanjša površino napada, saj napadalci ne morejo najti servisnih vrat, tudi če obstajajo ranljivosti nič-day.
Omejitve: Če je paket podatkov o knocku (tradicionalno preverjanje vrat je na to bolj dovzetno), lahko napadalci poskusijo ponovno predvajati (SPA je to težavo rešil s HMAC).
4.3 Uprite se surovi sili
Mehanizem: Podatkovni paketi SPA morajo biti pravilno šifrirani in overjeni s HMAC, uporaba surove sile je skoraj nemogoča (podatkovni paketi z neuspelim HMAC-om se neposredno zavržejo).
Varnost: V primerjavi s tradicionalnim port knockingom (preklicem dostopa do vrat) zasnova posameznih paketov in mehanizem šifriranja v SPA znatno izboljšata odpornost na brute force.
Omejitve: Napake v konfiguraciji (npr. šibki ključi ali onemogočen HMAC) lahko zmanjšajo varnost.
✨ Lastnosti
Ljudje ❤️ Fwknop
John
Michael
James
David
Olivia
William