PoW-Shield

Descrizione

PoW Shield fornisce protezione DDoS a livello applicativo OSI agendo come proxy che utilizza la proof of work tra il servizio backend e l'utente finale. Questo progetto mira a fornire un'alternativa ai metodi anti-DDoS generali come Google ReCaptcha, che è sempre stato fastidioso da risolvere. Accedere a un servizio web protetto da PoW Shield non è mai stato così semplice: basta andare all'URL e il browser eseguirà automaticamente la verifica per te.

PoW Shield mira a fornire i seguenti servizi in un'unica webapp / immagine docker:

• autenticazione proof of work
• limitazione di velocità e blacklist IP
• firewall per applicazioni web

(Nuovo) Articolo su LinkedIn

Presentato su Pentester Academy TV

Storia su Medium

Caratteristiche

• Struttura del Servizio Web
• Funzionalità Proxy
• Implementazione PoW
• Dockerizzazione
• Blacklist IP
• Limitazione di Velocità
• Test Unitari
• Implementazione WAF
• Sincronizzazione Multi-Istanza (Redis)
• Supporto SSL

Supportato tramite il controller PoW Phalanx:

• Gestione Multi-Istanza
• Token Whitelist
• Sincronizzazione Blacklist IP
• Controllo Dinamico della Difficoltà
• Dashboard

Implementazione alternativa in Go PoW-Shield-Go (WIP) per scopi di stress test e futura versione ottimizzata di produzione.

Come Funziona

In pratica, PoW Shield funge da proxy davanti all'effettiva web app/servizio. Esegue la verifica tramite proof of work e inoltra solo il traffico autorizzato al server reale. Il proxy è facilmente installabile ed è in grado di proteggere applicazioni a bassa sicurezza con un WAF.

Ecco cosa succede dietro le quinte quando un utente naviga su un servizio web protetto da PoW Shield:

1. Il server genera un "prefisso" casuale codificato in esadecimale e lo invia insieme alla pagina PoW Shield al client.
2. Il JavaScript del browser lato client tenta quindi di forzare bruscamente un "nonce" che, aggiunto al prefisso, possa produrre un hash SHA256 con un numero di bit zero iniziali maggiore della "difficoltà" D specificata dal server. Cioè SHA256(prefisso + nonce)=0...0xxxx (binario, con più di D zero iniziali)
3. Il JavaScript lato client invia quindi il nonce calcolato al server per la verifica; se la verifica ha successo, il server genera un cookie per consentire al client di superare l'autenticazione.
4. Il server inizia a inoltrare il traffico del client ormai autenticato al server con il filtraggio WAF abilitato.

Configurazione

Puoi configurare PoW Shield tramite i seguenti metodi.

• nodejs: .env (esempio: .env.example)
• docker-compose: docker-compose.yaml (esempio: docker-compose.example.yaml)
• docker run: parametro -e

Variabili d'Ambiente