PoW-Shield

Description

PoW Shield offre une protection contre les DDoS sur la couche application OSI en agissant comme un proxy qui utilise une preuve de travail (proof of work) entre le service backend et l'utilisateur final. Ce projet vise à fournir une alternative aux méthodes générales anti-DDoS telles que le ReCaptcha de Google qui a toujours été pénible à résoudre. Accéder à un service web protégé par PoW Shield n'a jamais été aussi simple : il suffit d'aller sur l'URL, et votre navigateur effectuera automatiquement le reste de la vérification pour vous.

PoW Shield vise à fournir les services suivants regroupés dans une seule application web / image Docker :

• authentification par preuve de travail
• limitation de débit et liste noire IP
• pare-feu d'application web

(Nouveau) Article sur LinkedIn

Présenté sur Pentester Academy TV

Article sur Medium

Fonctionnalités

• Structure de service Web
• Fonctionnalité de proxy
• Implémentation de PoW
• Dockerisation
• Liste noire IP
• Limitation de débit
• Tests unitaires
• Implémentation du WAF
• Synchronisation multi-instance (Redis)
• Support SSL

Pris en charge via le contrôleur PoW Phalanx :

• Gestion multi-instance
• Jetons en liste blanche
• Synchronisation IP en liste noire
• Contrôle dynamique de la difficulté
• Tableau de bord

Implémentation alternative en Go PoW-Shield-Go (en cours) à des fins de tests de charge et pour une future version de production optimisée.

Comment ça marche

En gros, PoW Shield fonctionne comme un proxy placé devant l'application/service web réel. Il effectue une vérification via une preuve de travail et ne transmet que le trafic autorisé au serveur réel. Le proxy est facilement installable et capable de protéger des applications à faible sécurité avec un WAF.

Voici ce qui se passe en coulisse lorsqu'un utilisateur navigue sur un service web protégé par PoW Shield :

1. Le serveur génère un « préfixe » aléatoire codé en hexadécimal et l'envoie avec la page PoW Shield au client.
2. Le JavaScript du navigateur côté client tente ensuite de forcer brutalement un « nonce » qui, lorsqu'il est ajouté au préfixe, peut produire un hachage SHA256 avec un nombre de bits zéro en tête supérieur à la « difficulté » D spécifiée par le serveur. C'est-à-dire SHA256(préfixe + nonce)=0…0xxxx (binaire, avec plus de D zéros en tête).
3. Le JavaScript côté client envoie ensuite le nonce calculé au serveur pour vérification. Si la vérification réussit, le serveur génère un cookie pour que le client puisse passer l'authentification.
4. Le serveur commence à transmettre le trafic du client désormais authentifié au serveur avec le filtrage WAF activé.

Configuration

Vous pouvez configurer PoW Shield via les méthodes suivantes.

• nodejs : .env (exemple : .env.example)
• docker-compose : docker-compose.yaml (exemple : docker-compose.example.yaml)
• docker run : paramètre -e

Variables d'environnement