PoW-Shield

Descripción

PoW Shield proporciona protección DDoS en la capa de aplicación OSI actuando como un proxy que utiliza prueba de trabajo (proof of work) entre el servicio backend y el usuario final. Este proyecto busca ofrecer una alternativa a los métodos generales anti-DDoS como el ReCaptcha de Google, que siempre ha sido un problema de resolver. Acceder a un servicio web protegido por PoW Shield nunca ha sido más fácil: simplemente vaya a la URL y su navegador hará el resto de la verificación automáticamente.

PoW Shield tiene como objetivo proporcionar los siguientes servicios empaquetados en una sola aplicación web / imagen Docker:

• autenticación mediante prueba de trabajo
• limitación de velocidad y lista negra de IP
• firewall de aplicaciones web (WAF)

(Nuevo) Artículo en LinkedIn

Presentado en Pentester Academy TV

Historia en Medium

Características

• Estructura de servicio web
• Funcionalidad de proxy
• Implementación de PoW
• Dockerización
• Lista negra de IP
• Limitación de velocidad
• Pruebas unitarias
• Implementación de WAF
• Sincronización multi-instancia (Redis)
• Soporte SSL

Compatible con el controlador PoW Phalanx:

• Gestión multi-instancia
• Tokens de lista blanca
• Sincronización de lista negra de IP
• Control dinámico de dificultad
• Panel de control

Implementación alternativa en Go PoW-Shield-Go (WIP) para pruebas de estrés y futura versión optimizada de producción.

Cómo funciona

Básicamente, PoW Shield funciona como un proxy delante de la aplicación/servicio web real. Realiza la verificación mediante prueba de trabajo y solo permite el tráfico autorizado hacia el servidor real. El proxy es fácil de instalar y es capaz de proteger aplicaciones de baja seguridad con un WAF.

Esto es lo que sucede detrás de escena cuando un usuario navega por un servicio web protegido por PoW Shield:

1. El servidor genera un "prefijo" hexadecimal aleatorio y lo envía junto con la página de PoW Shield al cliente.
2. El JavaScript del navegador del cliente intenta entonces encontrar por fuerza bruta un "nonce" que, al añadirse al prefijo, pueda producir un hash SHA256 con un número de bits cero iniciales mayor que la "dificultad" D especificada por el servidor. Es decir, SHA256(prefix + nonce)=0…0xxxx (binario, con más de D ceros iniciales).
3. El JavaScript del cliente envía el nonce calculado al servidor para su verificación; si la verificación es exitosa, el servidor genera una cookie para que el cliente pase la autenticación.
4. El servidor comienza a redirigir el tráfico del cliente ahora autenticado al servidor con el filtrado WAF activado.

Configuración

Puede configurar PoW Shield mediante los siguientes métodos.

• nodejs: .env (ejemplo: .env.example)
• docker-compose: docker-compose.yaml (ejemplo: docker-compose.example.yaml)
• docker run: parámetro -e

Variables de entorno