Autorizare pachet unic
PortGuard
PortGuard oferă o tehnologie robustă de autorizare a unui singur pachet pentru a vă proteja rețeaua împotriva accesului neautorizat, inclusiv a amenințărilor de scanare a porturilor.
Descărcați acum, GUI multi-platformă
GUI multi-platformă
Descărcați pentru Windows
fwknopc_2_6_11_x64-setup.exe
Descărcați pentru Macos
fwknopc_2_6_11_x64.pkg
Descărcați pentru Android
fwknopc_2_6_11_x64.apk
Server Fwknop pentru CentOS7
| Nume de fișier | Ultima modificare | MD5 |
|---|---|---|
| fwknop-server-2.6.11-1.el7.x86_64.rpm | 2025-07-29 |
1a375f89c2aa16935ddce164ad16adad
|
| libfko-3.0.0-1.x86_64.rpm | 2025-07-29 |
7f720f1f444f1634bab7cadbbfec40b2
|
1. De ce am dezvoltat PortGuard?
Am aflat prima dată despre conceptul de Autorizare a Pachetelor Unice (SPA) în timpul unei conversații ocazionale cu colegii de la serviciu. Înainte de asta, nu aveam cunoștințe despre port knocking sau SPA. S-a întâmplat ca firma noastră să aibă nevoie de o soluție de port-knocking și, după ce am cercetat și explorat materiale relevante, am descoperit fwknop. Conceptul fwknop a fost cu adevărat impresionant - pentru servicii care trebuie să fie accesibile doar câtorva aleși, fwknop este o soluție excelentă. Ne-am gândit să dezvoltăm propriul nostru instrument, dar fwknop era mult mai matur. Cu toate acestea, fwknop are dezavantajele sale: este complex, cu o curbă de învățare abruptă pentru instalare și utilizare și îi lipsește o aplicație client dedicată. Acest lucru a dus la crearea PortGuard. Scopul PortGuard este de a sprijini protocoalele mainstream de port-knocking, cum ar fi fwknop și, în viitor, tnok, oferind în același timp un client multi-platformă. Construit ca o extensie a fwknop și tnok, PortGuard își propune să facă tehnologia SPA mai ușor de utilizat și mai accesibilă.
2. Platforme suportate de clienții PortGuard
În prezent, PortGuard acceptă următoarele platforme:
- iOS
- Android
- Windows
- macOS
3. Cazuri de utilizare PortGuard
Funcționalitatea principală a PortGuard este de a îmbunătăți securitatea rețelei prin ascunderea porturilor de serviciu (implicit închise) și este potrivit pentru următoarele scenarii:
3.1 Protejarea serviciilor de acces la distanță (de exemplu, SSH)
Scenariu:Administratorii trebuie să acceseze în siguranță serviciile SSH din diferite locații (de exemplu, acasă, cafenea, rețeaua mobilă) fără a expune portul SSH rețelei publice.
Implementare: Folosește fwknop sau tnok, clientul trimite pachete de date SPA sau pachete TOTP knock, iar serverul verifică și deschide temporar portul SSH (implicit 22) după verificare.
Avantaje: Împiedicați descoperirea serviciilor de către Nmap și alte instrumente de scanare a porturilor, reducând riscul exploatării vulnerabilităților zero-day.
Exemplu: Membrii echipei la distanță folosesc clientul fwknop pentru a trimite pachete de date SPA pe dispozitive Windows sau Android, accesând în siguranță serverele interne ale companiei.
3.2 Protecția serviciilor în mediile cloud
Scenariu:Serviciile interne (de exemplu, bazele de date, serverele web) din AWS, Azure și alte platforme cloud trebuie accesate prin rețeaua publică, dar trebuie evitată expunerea directă a porturilor.
Implementare: PortGuard se integrează cu NAT pentru a permite clienților externi să acceseze serviciile interne din spațiul de adrese RFC 1918 prin SPA.
Avantaje: Suportă topologii de rețea complexe, potrivite pentru medii de cloud hibrid și multi-tenant.
Exemplu: Rulați fwknopd pe instanțele AWS EC2, deschideți dinamic portul MySQL (3306) pentru accesul utilizatorilor autorizați.
3.3 Apărare împotriva scanării porturilor și a atacurilor prin forță brută
Scenariu:Serverele se confruntă cu scanarea porturilor (de exemplu, Nmap) sau atacuri de tip brute force și trebuie să ascundă porturile de serviciu pentru a reduce suprafața de atac.
Implementare: PortGuard menține politica implicită de drop firewall, deschizând porturi doar după primirea de pachete de date SPA valide.
Avantaje: Chiar dacă există vulnerabilități necorectate, atacatorii nu pot descoperi porturi de serviciu.
Exemplu: Previne forța brută SSH, fwknop deschide porturile doar după verificarea HMAC.
3.4 Suport pentru protecția mai multor servicii
Scenariu:Întreprinderile trebuie să protejeze mai multe servicii (de exemplu, SSH, RDP, VPN, baze de date), dar nu doresc ca toate porturile să fie deschise tot timpul.
Implementare: fwknop acceptă definirea mai multor servicii și porturi în access.conf, iar clientul poate specifica protocolul și portul țintă.
Avantaje: Configurare flexibilă a regulilor, suport pentru timeout-uri personalizate și strategii de deschidere a porturilor.
Exemplu: Configurați fwknop pentru a proteja atât SSH (tcp/22), cât și OpenVPN (udp/1194).
3.5 Securitatea dispozitivelor încorporate sau IoT
Scenariu:Dispozitivele IoT sau sistemele integrate necesită gestionare de la distanță, dar resursele dispozitivului sunt limitate și vulnerabile la atacuri.
Implementare: Rulează comenzi ușoare fwknopd sau tnokd pe dispozitive cu resurse limitate, controlează accesul prin SPA sau TOTP.
Avantaje: Consum redus de resurse, potrivit pentru dispozitive mici.
Exemplu: Protejați serviciul web care rulează pe Raspberry Pi.
3.6 Integrarea dispozitivelor terțe
Scenariu:Necesitatea integrării cu dispozitive care nu acceptă fwknop nativ (de exemplu, routere Cisco), controlul regulilor firewall-ului.
Implementare: Funcția de comandă open/close cycle (comandă deschidere/închidere ciclu) a comenzii fwknop permite executarea de scripturi personalizate pentru modificarea dinamică a ACL-urilor dispozitivelor terțe.
Avantaje: Extensibil, suportă dispozitive firewall non-standard.
Exemplu: Rulați fwknopd pe serverele Linux, actualizați ACL-urile routerelor Cisco prin SSH.
3.7 Detalii tehnice
- fwknop suportă definirea timeout-ului (CMD_CYCLE_TIMER), portul deschis se închide automat, reducând timpul de expunere.
- Poate fi combinat cu VPN (de exemplu, WireGuard, OpenVPN) pentru a construi o rețea privată securizată.
- Acceptă analizarea antetelor X-Forwarded-For, potrivită pentru SPA în mediul HTTP.
4. Cât de sigur este PortGuard?
Securitatea PortGuard depinde în principal de mecanismul de autorizare a pachetelor individuale (SPA) al fwknop, combinat cu criptarea, autentificarea și integrarea firewall-ului, oferind protecție pe mai multe niveluri. Următoarea este o analiză detaliată a securității:
4.1 Criptare și autentificare
Criptare: fwknop acceptă criptarea simetrică Rijndael (AES) sau criptarea asimetrică GnuPG, iar conținutul pachetului de date SPA nu poate fi analizat direct.
Autentificare: Folosiți HMAC-SHA256 (implicit) sau versiuni ulterioare pentru autentificarea pachetelor de date, asigurând integritatea datelor și încrederea sursei.
Securitate: Prevenirea atacurilor de tip man-in-the-middle (MITM) și a atacurilor de replay, aplicarea HMAC după criptare, rezistență la atacurile oracle de tip CBC mode padding (de exemplu, atacurile Vaudenay).
Limitări: Criptarea simetrică necesită chei partajate de client și server, gestionarea necorespunzătoare a cheilor poate duce la scurgeri de informații; modul GnuPG necesită întreținerea cheilor de chei.
4.2 Prevenirea scanării porturilor
Mecanism: PortGuard folosește politica implicită de drop firewall, iar portul de serviciu este invizibil atunci când nu este autorizat, așa că Nmap și alte instrumente nu îl pot detecta.
Securitate: Reduce semnificativ suprafața de atac, chiar dacă există vulnerabilități zero-day, atacatorii nu pot localiza portul de serviciu.
Limitări: Dacă pachetul de date knock este sniffed (port knocking-ul tradițional este mai susceptibil la acest lucru), atacatorii pot încerca o reluare (SPA a rezolvat această problemă prin HMAC).
4.3 Rezistați forței brute
Mecanism: Pachetele de date SPA trebuie criptate corect și autentificate prin HMAC, forța brută este aproape imposibilă (pachetele de date cu HMAC eșuat sunt eliminate direct).
Securitate: Comparativ cu porturile tradiționale de tip „port knocking”, designul cu un singur pachet și mecanismul de criptare al SPA îmbunătățesc semnificativ capacitatea de a rezista la forța brută.
Limitări: Erorile de configurare (de exemplu, chei slabe sau HMAC dezactivat) pot reduce securitatea.
✨ Caracteristici
Oameni ❤️ Fwknop
John
Michael
James
David
Olivia
William