PoW-Shield

Descrição

O PoW Shield fornece proteção contra DDoS na camada de aplicação OSI atuando como um proxy que utiliza prova de trabalho entre o serviço de backend e o utilizador final. Este projeto visa oferecer uma alternativa aos métodos gerais anti-DDoS, como o ReCaptcha do Google, que sempre foi um incómodo de resolver. Aceder a um serviço web protegido pelo PoW Shield nunca foi tão fácil, basta ir ao URL e o seu navegador fará o resto da verificação automaticamente.

O PoW Shield pretende fornecer os seguintes serviços agrupados numa única aplicação web / imagem docker:

• autenticação por prova de trabalho
• limitação de taxa e lista negra de IP
• firewall de aplicação web

(Novo) Artigo no LinkedIn

Apresentado no Pentester Academy TV

Artigo no Medium

Funcionalidades

• Estrutura de Serviço Web
• Funcionalidade de Proxy
• Implementação de PoW
• Dockerização
• Lista Negra de IP
• Limitação de Taxa
• Testes Unitários
• Implementação de WAF
• Sincronização Multi-Instância (Redis)
• Suporte SSL

Suportado através do controlador PoW Phalanx:

• Gestão Multi-Instância
• Tokens de lista branca
• Sincronização de lista negra de IP
• Controlo dinâmico de dificuldade
• Painel de controlo

Implementação alternativa em Go PoW-Shield-Go (WIP) para fins de teste de stress e futura versão de produção otimizada.

Como Funciona

Basicamente, o PoW Shield funciona como um proxy à frente da aplicação/serviço web real. Ele realiza a verificação através de prova de trabalho e apenas encaminha o tráfego autorizado para o servidor real. O proxy é facilmente instalável e é capaz de proteger aplicações de baixa segurança com uma WAF.

Aqui está o que acontece nos bastidores quando um utilizador navega num serviço web protegido pelo PoW Shield:

1. O servidor gera um "prefixo" aleatório codificado em hexadecimal e envia-o juntamente com a página do PoW Shield para o cliente.
2. O JavaScript do lado do cliente tenta então calcular por força bruta um "nonce" que, quando anexado ao prefixo, produza um hash SHA256 com um número de bits zero à esquerda superior à "dificuldade" D especificada pelo servidor. Ou seja, SHA256(prefixo + nonce)=0…0xxxx (binário, com mais de D zeros à esquerda)
3. O JavaScript do lado do cliente envia então o nonce calculado ao servidor para verificação; se a verificação for aprovada, o servidor gera um cookie para o cliente passar na autenticação.
4. O servidor começa a encaminhar o tráfego agora autenticado para o servidor com a filtragem WAF ativada.

Configuração

Pode configurar o PoW Shield através dos seguintes métodos.

• nodejs: .env (exemplo: .env.example)
• docker-compose: docker-compose.yaml (exemplo: docker-compose.example.yaml)
• docker run: parâmetro -e

Variáveis de Ambiente

Utilização

Nodejs

Pré-requisitos

• Docker ^19.0.0
• Nodejs ^14.0.0

# Clone repository
git clone https://github.com/RuiSiang/PoW-Shield.git

# Install dependencies
npm install

# Configure settings
cp -n .env.example .env
# Edit .env
nano .env

# Transpile
npm run build

#############################################
# Run with db (redis), recommended & faster #
# install redis first                       #
# sudo apt-get install redis-server         #
#############################################
npm start
#############################################

#############################################
#        Run without db (mock redis)        #
#############################################
npm run start:standalone # linux
npm run start:standalone-win # windows
#############################################

# Test functionalities(optional)
npm test

Docker (repositório)

####################################################
# Docker run with db (redis), recommended & faster #
####################################################
docker run -p 3000:3000 -e BACKEND_URL="http://example.com" -d ruisiang/pow-shield
####################################################

####################################################
#        Docker run without db (mock redis)        #
####################################################
docker run -p 3000:3000 -e BACKEND_URL="http://example.com" -e NODE_ENV="standalone" -d ruisiang/pow-shield
####################################################

####################################################
#                  Docker Compose                  #
####################################################
# Copy docker-compose.example.yaml
cp -n docker-compose.example.yaml docker-compose.yaml
# Edit docker-compose.yaml
nano docker-compose.yaml

# Start the container
docker-compose -f docker-compose.yaml up
####################################################

Teste de Stress

Nota: Isto só funciona na versão não contentorizada do PoW Shield, e o seu sistema poderá sofrer instabilidade durante a execução do teste.

# Start the stress test
npm run stress

# If you changed the PORT variable in .env, you should also change the target variable in the stress test script
nano scripts/stress.sh

Os seguintes testes são realizados num único thread de uma CPU i7-10870H com um período de 60 segundos para cada parâmetro de concorrência.

GET em Massa

Inundação de Nonce

Pela amostra acima, podemos ver que a estimativa de carga máxima adequada para o PoW Shield é de cerca de 512 conexões concorrentes. As taxas de erro e latências deterioram-se para além da aceitação normal depois disso. Portanto, num ambiente com balanceamento de carga na máquina (1 instância do PoW Shield em cada um dos seus 8 núcleos), deverá ser capaz de lidar com um máximo de aproximadamente 4096 conexões concorrentes (clientes) a uma taxa total de pedidos de 32k pedidos/segundo.

Referências

• Prova de trabalho por Fedor Indutny (funções utilitárias de PoW)
• Shadowd por Zesecure (regras WAF)

Licença

MIT