PoW-Shield

Описание

PoW Shield обеспечивает защиту от DDoS на прикладном уровне OSI, выступая в роли прокси, использующего доказательство работы (proof of work) между серверной службой и конечным пользователем. Этот проект призван предложить альтернативу обычным методам защиты от DDoS, таким как Google ReCaptcha, которые всегда были проблемой для прохождения. Доступ к веб-сервису, защищённому PoW Shield, стал проще — просто перейдите по URL, и ваш браузер автоматически выполнит остальную проверку за вас.

PoW Shield стремится предоставить следующие услуги, объединённые в одном веб-приложении / Docker-образе:

• аутентификация через доказательство работы
• ограничение скорости и чёрный список IP
• веб-брандмауэр (WAF)

(Новое) Статья на LinkedIn

Показано на Pentester Academy TV

История на Medium

Возможности

• Структура веб-сервиса
• Функциональность прокси
• Реализация PoW
• Докеризация
• Чёрный список IP
• Ограничение скорости
• Модульное тестирование
• Реализация WAF
• Синхронизация между экземплярами (Redis)
• Поддержка SSL

Поддерживается через контроллер PoW Phalanx:

• Управление несколькими экземплярами
• Белые списки токенов
• Синхронизация чёрного списка IP
• Динамическое управление сложностью
• Панель управления

Альтернативная реализация на Go PoW-Shield-Go (в разработке) для нагрузочного тестирования и будущей оптимизированной производственной версии.

Как это работает

В двух словах, PoW Shield работает как прокси перед реальным веб-приложением / сервисом. Он проводит верификацию с помощью доказательства работы и пропускает только авторизованный трафик к реальному серверу. Прокси легко устанавливается и способен защищать слабозащищённые приложения с помощью WAF.

Вот что происходит за кулисами, когда пользователь заходит на веб-сервис, защищённый PoW Shield:

1. Сервер генерирует случайный шестнадцатеричный «префикс» и отправляет его вместе со страницей PoW Shield клиенту.
2. JavaScript на стороне клиента пытается подобрать «nonce» (одноразовое число), при добавлении которого к префиксу получается хеш SHA256 с количеством ведущих нулевых битов, превышающим сложность D, заданную сервером. Т.е. SHA256(префикс + nonce)=0…0xxxx (в двоичном виде, с более чем D ведущими нулями).
3. Клиентский JavaScript отправляет вычисленный nonce на сервер для проверки. Если проверка пройдена, сервер генерирует cookie для прохождения аутентификации клиентом.
4. Сервер начинает проксировать трафик уже аутентифицированного клиента к серверу с включённой фильтрацией WAF.

Конфигурация

PoW Shield можно настроить следующими способами:

• nodejs: .env (пример: .env.example)
• docker-compose: docker-compose.yaml (пример: docker-compose.example.yaml)
• docker run: параметр -e

Переменные окружения