PoW-Shield

الوصف

PoW Shield يوفر حماية من هجمات رفض الخدمة الموزعة (DDoS) على طبقة التطبيق (OSI) من خلال العمل كبروكسي يستخدم إثبات العمل بين الخدمة الخلفية والمستخدم النهائي. يهدف هذا المشروع إلى تقديم بديل لطرق مكافحة DDoS العامة مثل ReCaptcha من Google التي كانت دائمًا مصدر إزعاج. الوصول إلى خدمة ويب محمية بواسطة PoW Shield أصبح أسهل من أي وقت مضى، فقط اذهب إلى الرابط، وسيقوم متصفحك بالتحقق تلقائيًا نيابة عنك.

يهدف PoW Shield إلى تقديم الخدمات التالية مجمعة في تطبيق ويب واحد / صورة Docker:

• مصادقة إثبات العمل
• تحديد المعدل وحظر عناوين IP
• جدار حماية تطبيقات الويب

(جديد) مقال على LinkedIn

ظهور على Pentester Academy TV

قصة على Medium

الميزات

• هيكل خدمة الويب
• وظيفة البروكسي
• تنفيذ إثبات العمل
• الحاوية (Docker)
• حظر عنوان IP
• تحديد المعدل
• اختبار الوحدة
• تنفيذ WAF
• مزامنة متعددة الحالات (Redis)
• دعم SSL

مدعوم عبر وحدة تحكم PoW Phalanx:

• إدارة متعددة الحالات
• رموز القائمة البيضاء
• مزامنة حظر عناوين IP
• التحكم الديناميكي في الصعوبة
• لوحة المعلومات

تنفيذ بديل بلغة Go PoW-Shield-Go (قيد التطوير) لأغراض اختبار الإجهاد والإصدار الإنتاجي المحسن في المستقبل.

كيف يعمل

ببساطة، يعمل PoW Shield كبروكسي أمام تطبيق/خدمة الويب الفعلية. يقوم بإجراء التحقق عبر إثبات العمل ويسمح فقط بمرور الزيارات الموثقة إلى الخادم الفعلي. البروكسي سهل التثبيت وقادر على حماية التطبيقات منخفضة الأمان باستخدام WAF.

هذا ما يحدث خلف الكواليس عندما يتصفح المستخدم خدمة ويب محمية بواسطة PoW Shield:

1. يقوم الخادم بتوليد "بادئة" (prefix) عشوائية مشفرة بالنظام الست عشري (hex) ويرسلها مع صفحة PoW Shield إلى العميل.
2. يقوم جافاسكريبت المتصفح من جانب العميل بمحاولة تخمين "nonce" بحيث عند إلحاقها بالبادئة، تنتج تجزئة SHA256 تحتوي على عدد من البتات الصفرية الرائدة أكبر من "الصعوبة" D المحددة من قبل الخادم. أي: SHA256(prefix + nonce)=0…0xxxx (ثنائي، مع أكثر من D من الأصفار الرائدة)
3. يقوم جافاسكريبت من جانب العميل بإرسال الـ nonce المحسوب إلى الخادم للتحقق، إذا نجح التحقق، يقوم الخادم بتوليد كوكي للعميل لاجتياز المصادقة.
4. يبدأ الخادم في توجيه زيارات العميل الموثقة إلى الخادم مع تفعيل تصفية WAF.

الإعدادات

يمكنك تكوين PoW Shield عبر الطرق التالية.

• nodejs: .env (مثال: .env.example)
• docker-compose: docker-compose.yaml (مثال: docker-compose.example.yaml)
• docker run: -e parameter

المتغيرات البيئية