Vieno paketo autorizacija
PortGuard
PortGuard siūlo patikimą vieno paketo autorizacijos technologiją, kad apsaugotų jūsų tinklą nuo neteisėtos prieigos, įskaitant prievadų nuskaitymo grėsmes.
Atsisiųskite dabar, kelių platformų GUI
Kelių platformų GUI
Atsisiųskite „Windows“.
fwknopc_2_6_11_x64-setup.exe
Atsisiųskite Macos
fwknopc_2_6_11_x64.pkg
Atsisiųskite „Android“.
fwknopc_2_6_11_x64.apk
„Fwknop“ serveris, skirtas „CentOS7“
| Failo pavadinimas | Paskutinį kartą modifikuota | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. Kodėl sukūriau „PortGuard“?
Pirmą kartą apie vieno paketo autorizacijos (SPA) koncepciją sužinojau atsitiktinio pokalbio su kolegomis darbe metu. Prieš tai nieko nežinojau apie prievadų beldimą ar SPA. Atsitiko taip, kad mūsų įmonei reikėjo prievadų beldimo sprendimo, ir, ištyręs bei išnagrinėjęs atitinkamą medžiagą, atradau „fwknop“. „fwknop“ koncepcija buvo išties įspūdinga – paslaugoms, kurios turi būti prieinamos tik keliems išrinktiesiems, „fwknop“ yra puikus sprendimas. Svarstėme sukurti savo įrankį, bet „fwknop“ buvo daug brandesnis. Tačiau „fwknop“ turi ir trūkumų: jis yra sudėtingas, reikalauja staigios diegimo ir naudojimo mokymosi kreivės, be to, jam trūksta specialios kliento programos. Tai paskatino sukurti „PortGuard“. „PortGuard“ tikslas – palaikyti pagrindinius prievadų beldimo protokolus, tokius kaip „fwknop“ ir ateityje „tnok“, kartu suteikiant kelių platformų klientą. Sukurtas kaip „fwknop“ ir „tnok“ plėtinys, „PortGuard“ siekia, kad SPA technologija būtų patogesnė vartotojui ir prieinamesnė.
2. „PortGuard“ kliento palaikomos platformos
Šiuo metu „PortGuard“ palaiko šias platformas:
- iOS
- Android
- Windows
- macOS
3. „PortGuard“ naudojimo atvejai
Pagrindinė „PortGuard“ funkcija yra pagerinti tinklo saugumą slepiant paslaugų prievadus (pagal numatytuosius nustatymus jie uždaryti), ir ji tinka šiais atvejais:
3.1 Apsaugokite nuotolinės prieigos paslaugas (pvz., SSH)
Scenarijus:Administratoriai turi saugiai pasiekti SSH paslaugas iš skirtingų vietų (pvz., namų, kavinės, mobiliojo ryšio tinklo), neatidengdami SSH prievado viešajam tinklui.
Įgyvendinimas: Naudojant „fwknop“ arba „tnok“, klientas siunčia SPA duomenų paketus arba TOTP „knock“ paketus, o serveris patikrina ir laikinai atidaro SSH prievadą (numatytasis yra 22) po patikrinimo.
Privalumai: Neleiskite „Nmap“ ir kitoms prievadų nuskaitymo priemonėms aptikti paslaugų, taip sumažinant nulinės dienos pažeidžiamumų išnaudojimo riziką.
Pavyzdys: Nuotoliniai komandos nariai naudoja „fwknop“ klientą, kad siųstų SPA duomenų paketus „Windows“ arba „Android“ įrenginiuose ir saugiai pasiektų įmonės vidinius serverius.
3.2 Paslaugų apsauga debesijos aplinkose
Scenarijus:Prie vidinių paslaugų (pvz., duomenų bazių, žiniatinklio serverių) AWS, „Azure“ ir kitose debesijos platformose reikia prisijungti per viešąjį tinklą, tačiau reikia vengti tiesioginio prievadų atskleidimo.
Įgyvendinimas: „PortGuard“ integruojasi su NAT, kad išoriniai klientai galėtų pasiekti vidines paslaugas RFC 1918 adresų erdvėje per SPA.
Privalumai: Palaiko sudėtingas tinklo topologijas, tinkamas hibridinėms debesų ir daugiafunkcinėms aplinkoms.
Pavyzdys: Paleiskite „fwknopd“ AWS EC2 egzemplioriuose, dinamiškai atidarykite „MySQL“ prievadą (3306), kad jį galėtų pasiekti įgalioti vartotojai.
3.3 Apsauga nuo prievadų skenavimo ir „brute force“ atakų
Scenarijus:Serveriai susiduria su prievadų nuskaitymu (pvz., „Nmap“) arba „brute force“ atakomis, todėl jiems reikia slėpti paslaugų prievadus, kad sumažėtų atakos paviršius.
Įgyvendinimas: „PortGuard“ palaiko numatytąją užkardos politiką, atidarant prievadus tik gavus galiojančius SPA duomenų paketus.
Privalumai: Net jei yra nepašalintų pažeidžiamumų, užpuolikai negali aptikti paslaugų prievadų.
Pavyzdys: Užkirsti kelią SSH brutalios jėgos naudojimui, fwknop atidaro prievadus tik patikrinus HMAC.
3.4 Palaikykite kelių paslaugų apsaugą
Scenarijus:Įmonės turi apsaugoti kelias paslaugas (pvz., SSH, RDP, VPN, duomenų bazę), bet nenori, kad visi prievadai būtų atidaryti visą laiką.
Įgyvendinimas: „fwknop“ palaiko kelių paslaugų ir prievadų apibrėžimą access.conf faile, o klientas gali nurodyti tikslinį protokolą ir prievadą.
Privalumai: Lankstus taisyklių konfigūravimas, palaikantis pasirinktinį skirtą laiką ir prievadų atidarymo strategijas.
Pavyzdys: Konfigūruokite „fwknop“, kad apsaugotumėte ir SSH (tcp/22), ir OpenVPN (udp/1194).
3.5 Įterptųjų arba daiktų interneto įrenginių saugumas
Scenarijus:Daiktų interneto įrenginiams arba įterptosioms sistemoms reikalingas nuotolinis valdymas, tačiau įrenginių ištekliai yra riboti ir pažeidžiami atakų.
Įgyvendinimas: Paleiskite lengvą „fwknopd“ arba „tnokd“ komandą įrenginiuose, kuriuose riboti ištekliai, valdykite prieigą per SPA arba TOTP.
Privalumai: Mažas išteklių suvartojimas, tinka mažiems įrenginiams.
Pavyzdys: Apsaugokite „Raspberry Pi“ veikiančią žiniatinklio paslaugą.
3.6 Trečiųjų šalių įrenginių integravimas
Scenarijus:Reikia integruoti su įrenginiais, kurie nepalaiko vietinio „fwknop“ (pvz., „Cisco“ maršrutizatoriai), valdyti užkardos taisykles.
Įgyvendinimas: „fwknop“ komandos atidarymo/uždarymo ciklo (komandos atidarymo/uždarymo ciklas) funkcija leidžia vykdyti pasirinktinius scenarijus, kad dinamiškai modifikuotų trečiųjų šalių įrenginių ACL.
Privalumai: Išplečiama, palaiko nestandartinius užkardos įrenginius.
Pavyzdys: Paleiskite „fwknopd“ „Linux“ serveriuose, atnaujinkite „Cisco“ maršrutizatorių ACL per SSH.
3.7 Techninės detalės
- „fwknop“ palaiko skirtojo laiko apibrėžimą (CMD_CYCLE_TIMER), atidarytas prievadas automatiškai uždaromas, taip sumažinant ekspozicijos laiką.
- Galima derinti su VPN (pvz., „WireGuard“, „OpenVPN“), kad būtų sukurtas saugus privatus tinklas.
- Palaiko X-Forwarded-For antraštės analizę, tinka SPA HTTP aplinkoje.
4. Ar „PortGuard“ yra saugus?
„PortGuard“ saugumas daugiausia priklauso nuo „fwknop“ vieno paketo autorizacijos (SPA) mechanizmo, kartu su šifravimu, autentifikavimu ir ugniasienės integracija, užtikrinant daugiasluoksnę apsaugą. Toliau pateikiama išsami saugumo analizė:
4.1 Šifravimas ir autentifikavimas
Šifravimas: „fwknop“ palaiko simetrinį „Rijndael“ (AES) šifravimą arba asimetrinį „GnuPG“ šifravimą, o SPA duomenų paketo turinio negalima tiesiogiai analizuoti.
Autentifikavimas: Duomenų paketų autentifikavimui naudokite HMAC-SHA256 (numatytasis) arba naujesnes versijas, užtikrindami duomenų vientisumą ir šaltinio patikimumą.
Saugumas: Užkirsti kelią „man-in-the-middle“ (MITM) ir pakartojimo atakoms, HMAC taikomas po šifravimo, atsparus CBC režimo papildymo orakulų atakoms (pvz., Vaudenay atakoms).
Apribojimai: Simetriniam šifravimui reikalingi bendri kliento ir serverio raktai, netinkamas raktų valdymas gali sukelti informacijos nutekėjimą; „GnuPG“ režimui reikia prižiūrėti raktų žiedus.
4.2 Užkirsti kelią prievadų nuskaitymui
Mechanizmas: „PortGuard“ naudoja numatytąją užkardos politiką, o paslaugos prievadas nematomas, kai nėra leidimo, todėl „Nmap“ ir kiti įrankiai negali jo aptikti.
Saugumas: Žymiai sumažina atakų paviršių, net jei yra nulinės dienos pažeidžiamumų, užpuolikai negali rasti paslaugos prievado.
Apribojimai: Jei „knockdown“ duomenų paketas yra „unchable“ (tradicinis prievadų beldimas yra jautresnis šiam reiškiniui), užpuolikai gali bandyti jį atkurti (SPA išsprendė šią problemą per HMAC).
4.3 Pasipriešinkite brutaliajai jėgai
Mechanizmas: SPA duomenų paketai turi būti teisingai užšifruoti, o HMAC autentifikuotas; „brute force“ tai beveik neįmanoma (duomenų paketai su sugedusiu HMAC yra tiesiogiai atmetami).
Saugumas: Palyginti su tradiciniu prievadų trankymu, SPA vieno paketo dizainas ir šifravimo mechanizmas žymiai pagerina atsparumą grubia jėgai.
Apribojimai: Konfigūracijos klaidos (pvz., silpni raktai arba išjungtas HMAC) gali sumažinti saugumą.
✨ Savybės
Žmonės ❤️ Fwknop
John
Michael
James
David
Olivia
William