PoW-Shield

Descrição

O PoW Shield fornece proteção contra DDoS na camada de aplicação OSI atuando como um proxy que utiliza prova de trabalho entre o serviço de backend e o utilizador final. Este projeto visa oferecer uma alternativa aos métodos gerais anti-DDoS, como o ReCaptcha do Google, que sempre foi um incómodo de resolver. Aceder a um serviço web protegido pelo PoW Shield nunca foi tão fácil, basta ir ao URL e o seu navegador fará o resto da verificação automaticamente.

O PoW Shield pretende fornecer os seguintes serviços agrupados numa única aplicação web / imagem docker:

• autenticação por prova de trabalho
• limitação de taxa e lista negra de IP
• firewall de aplicação web

(Novo) Artigo no LinkedIn

Apresentado no Pentester Academy TV

Artigo no Medium

Funcionalidades

• Estrutura de Serviço Web
• Funcionalidade de Proxy
• Implementação de PoW
• Dockerização
• Lista Negra de IP
• Limitação de Taxa
• Testes Unitários
• Implementação de WAF
• Sincronização Multi-Instância (Redis)
• Suporte SSL

Suportado através do controlador PoW Phalanx:

• Gestão Multi-Instância
• Tokens de lista branca
• Sincronização de lista negra de IP
• Controlo dinâmico de dificuldade
• Painel de controlo

Implementação alternativa em Go PoW-Shield-Go (WIP) para fins de teste de stress e futura versão de produção otimizada.

Como Funciona

Basicamente, o PoW Shield funciona como um proxy à frente da aplicação/serviço web real. Ele realiza a verificação através de prova de trabalho e apenas encaminha o tráfego autorizado para o servidor real. O proxy é facilmente instalável e é capaz de proteger aplicações de baixa segurança com uma WAF.

Aqui está o que acontece nos bastidores quando um utilizador navega num serviço web protegido pelo PoW Shield:

1. O servidor gera um "prefixo" aleatório codificado em hexadecimal e envia-o juntamente com a página do PoW Shield para o cliente.
2. O JavaScript do lado do cliente tenta então calcular por força bruta um "nonce" que, quando anexado ao prefixo, produza um hash SHA256 com um número de bits zero à esquerda superior à "dificuldade" D especificada pelo servidor. Ou seja, SHA256(prefixo + nonce)=0…0xxxx (binário, com mais de D zeros à esquerda)
3. O JavaScript do lado do cliente envia então o nonce calculado ao servidor para verificação; se a verificação for aprovada, o servidor gera um cookie para o cliente passar na autenticação.
4. O servidor começa a encaminhar o tráfego agora autenticado para o servidor com a filtragem WAF ativada.

Configuração

Pode configurar o PoW Shield através dos seguintes métodos.

• nodejs: .env (exemplo: .env.example)
• docker-compose: docker-compose.yaml (exemplo: docker-compose.example.yaml)
• docker run: parâmetro -e

Variáveis de Ambiente