fwknop

fwknop steht für die "Firewall OPerator klopfen", und implementiert wurde ein Genehmigungsverfahren auf Basis Netfilter und libpcap die nur eine einzige verschlüsselte Paket, um verschiedene Informationen einschließlich gewünschte Zugriff über ein Netfilter Politik und / oder komplette Befehle kommunizieren erfordert um auf dem Zielsystem auszuführen.
Durch die Verwendung Netfilter, einen "Standard-Drop" Stand zu haben, ist die wichtigste Anwendung dieses Programms, um Dienste wie OpenSSH mit einer zusätzlichen Sicherheitsebene, um zu machen, zu schützen die Ausnutzung von Schwachstellen (beide 0-Tag und ungepatchte Code) sehr viel schwieriger.
Der Autorisierungs-Server überwacht passiv Berechtigungspakete über libcap und daher gibt es keine "Server", um die im herkömmlichen Sinn zu verbinden . Der Zugang zu einem geschützten Dienst wird erst nach einer gültigen verschlüsselten und nicht-wieder Paket überwacht gewährt.
Diese Methode ist ähnlich der von Simple Nomad vorgeschlagenen Einzel Packet Genehmigungen und die Leute bei NMRC

fwknop Projekt war auch das erste Werkzeug zur traditionellen verschlüsselten Port Knocking mit passiven Spuren des OS zu kombinieren. Dadurch ist es möglich, Dinge zu tun, wie es nur ermöglichen, sagen wir, Linux-2.4 / 2.6-Systeme zu Ihrem SSH-Daemon zu verbinden

Was ist neu in dieser Pressemitteilung:.

• (radostan Riedel) Hinzugefügt ein AppArmor-Richtlinie für fwknopd, die bekanntermaßen auf Debian und Ubuntu-Systemen. Die Richtliniendatei finden Sie unter Extras / apparmor / usr.sbin / fwknopd.
• [libfko] Nikolay Kolev berichtet eine Build-Problem mit Mac OS X Mavericks wo lokale fwknop Kopien strlcat () und strlcpy () wurden mit denen, die bereits versenden mit OS X 10.9 in Konflikt. Schließt # 108 auf GitHub.
• [libfko] (Franck Joncourt) Konzern FKO Kontext Dumping-Funktion in lib / fko_util.c. Zusätzlich zum Hinzufügen eines freigegebenen Dienstprogrammfunktion zum Drucken eines FKO Zusammenhang macht diese Änderung auch der FKO Kontext Ausgabe etwas einfacher zu analysieren, durch Drucken jedes FKO-Attribut in einer einzigen Zeile (diese Änderung betroffen den Druck des letzten SPA Paketdaten). Die Testreihe wurde aktualisiert, um diese Änderung als auch zu berücksichtigen.
• [libfko] Bug fix nicht zu versuchen SPA Paket Entschlüsselung mit GnuPG ohne fko Objekt mit encryption_mode zu FKO_ENC_MODE_ASYMMETRIC gesetzt. Dieser Fehler wurde mit valgrind Validierung gegen das perl FKO-Erweiterung zusammen mit dem Satz von SPA-Pakete in Fuzzing Test / Fuzzing / fuzzing_spa_packets gefangen. Beachten Sie, dass dieser Fehler nicht über fwknopd ausgelöst, weil zusätzliche Prüfungen innerhalb fwknopd selbst gemacht, um FKO_ENC_MODE_ASYMMETRIC zwingen, wenn ein access.conf Strophe enthält GPG Schlüsselinformationen werden. Dieses Update stärkt libfko sich unabhängig verlangen, dass der Einsatz von fko Objekte ohne GPG-Schlüssel Informationen nicht in GPG versucht Entschlüsselungsoperationen führen. Damit dieser Fix gilt vor allem für Dritte Nutzung libfko
• d.h. Aktienanlagen von fwknopd sind nicht betroffen. Wie immer ist es empfehlenswert, HMAC authentifizierte Verschlüsselung auch für GPG-Modi zu verwenden, wann immer möglich, da dies auch eine Arbeit um selbst für libfko vor diesem Update.
• [Android] (Gerry Reno) Aktualisiert den Android-Client kompatibel mit Android-4.4 sein.
• [Android] Hinzugefügt HMAC-Unterstützung (derzeit optional).
• [Server] aktuell pcap_dispatch () Standardpaket zählen von Null bis 100. Diese Änderung wurde vorgenommen, um die Abwärtskompatibilität mit älteren Versionen von libpcap pro die pcap_dispatch () man-Seite zu gewährleisten, und auch, weil einige von einem Bericht von Les Aker eine unerwartete Absturz auf Arch Linux mit libpcap-1.5.1, die von dieser Änderung nicht festgelegt ist (schließt # 110).
• [Server] Bugfix für SPA NAT-Modi auf iptables Firewalls, dass benutzerdefinierte sicherzustellen fwknop Ketten neu erstellt werden, wenn sie aus unter dem Lauf gelöscht werden fwknopd Beispiel.
• [Server] Hinzugefügt FORCE_SNAT auf die access.conf Datei, so dass pro-Zugang Strophe SNAT Kriterien für SPA Zugang festgelegt werden.
• [Test-Suite] hinzugefügt --gdb-Test, damit ein zuvor ausgeführten fwknop oder fwknopd Befehl, durch gdb mit den gleichen Befehlszeile Argumente wie die Testsuite verwendet, gesendet werden. Dies ist für die Bequemlichkeit, schnell ermöglichen gdb um bei der Untersuchung fwknop / fwknopd Probleme gestartet werden.
• [Client] (Franck Joncourt) Hinzugefügt --stanza Liste Argument, um die Strophe Namen aus ~ / .fwknoprc zeigen.
• [libfko] (Hank Leininger) Beige einen Patch für libfko Fehlercode Beschreibung an verschiedenen Stellen deutlich erweitern, um viel bessere Informationen darüber, welche bestimmten Fehlerbedingungen bedeuten, zu geben. Schließt # 98.
• [Test-Suite] Möglichkeit hinzugefügt, perl FKO-Modul integrierte Tests im t / Verzeichnis unterhalb des CPAN Test :: Valgrind-Modul ausgeführt werden. Dies ermöglicht valgrind Speicher überprüft, angewendet, um Funktionen über das perl FKO-Modul (und damit das Rapid Prototyping mit Erkennung von Speicherlecks kombinierbar) libfko werden. Es wird geprüft, ob der Test :: Valgrind Modul installiert wurde, und --enable-valgrind ist ebenfalls erforderlich (oder --enable-all) auf der test-fwknop.pl Befehlszeile.

Was ist neu in Version 2.5.1:

• Ein Bugfix im fwknop Client Terminaleinstellungen zurücksetzen Werte nach der Eingabe der Tasten auch über stdin orignal.
• Ein Bugfix im fwknopd Daemon, eine PID-Datei Existenz Warnung.
nicht drucken
• Wenn eine Testsuite Bugfix, eine iptables Rijndael HMAC-Test auf Nicht-Linux-Systemen nicht ausgeführt werden.

Was ist neu in der Version 2.5:

• Diese Version Unterstützung für HMAC SHA-256 authentifizierte Verschlüsselung die Verschlüsselung-dann authentifizieren Modell.


• Viele Fehler von der Coverity statische Analysator entdeckt wurden behoben.
• OpenSSL Kompatibilitätstests wurden an die Test-Suite hinzugefügt.
• Client Strophe Sparfähigkeit wurde für das .fwknoprc Datei ~ / aufgenommen Vereinfachung fwknop Client-Nutzung.
• Die Fähigkeit, beide Rijndael und HMAC-Tasten mit --key-gen automatisch hinzugefügt.

Was ist neu in Version 2.0.4:

• Auf der Serverseite, fügt diese Version ein chain_exists () zu überprüfen, um SPA Regelerstellung, so dass, wenn eine der fwknop Ketten werden aus unter fwknopd gelöscht wird, wird sie im laufenden Betrieb neu erstellt werden.
• Es fügt neue SPA-Paket Fuzzing-Fähigkeit, die Testsuite in die Validierung von SPA-Operationen zu unterstützen.
• Sie fügt hinzu, Emporkömmling Konfiguration für Systeme mit den Emporkömmling Daemon.
• Ein OpenBSD ndbm / gdbm Nutzung Bugfix.
• ICMP Typ / code Client Befehlszeilenargumente haben, wann SPA Pakete über ICMP geschickt hinzugefügt.

Was ist neu in Version 2.0.3:

• Einige DoS / Codeausführung Schwachstellen Schad fwknop Kunden daß es schaffen, über die Authentifizierungsstufe (so wie Kunden müssen einen gültigen Schlüssel besitzen) erhalten wurden behoben.
• Berechtigungen und Eigentumsüberprüfungen auf alle Dateien von der fwknop Client und Server verbraucht wurde hinzugefügt.
• RPM errichtet worden, indem die $ (DESTDIR) Präfix für die Deinstallation-lokalen und install-exec-Haken Stufen Makefile.am behoben haben.

Was ist neu in Version 2.0.2:

• Bessere Handhabung von GnuPG für SPA-Paket Entschlüsselung auf die Server-Seite (Konten ohne Passphrase GPG gpg-agent oder pinentry ansonsten erforderlich).
• Ein Bugfix in SPA Packet Replay Erkennungscode.
• Eine Prüfung auf die Existenz von 'Kommentar' Spiel der iptables, wenn die dazu dienen wird unter Linux eingesetzt werden.
• Einige weitere Bugfixes.

Was ist neu in der Version 2.0:.

• Das ist der Produktionsversion der fwknop C neu geschrieben
• Es bringt Einzel Packet Authorization zu drei verschiedene Open-Source-Firewall (iptables, ipfw und pf), Embedded-Systeme und mobile Geräte.
• Die fwknopd Server läuft unter Linux, Mac OS X, FreeBSD und OpenBSD.
• Der Client läuft auf all diesen Plattformen sowie Android, iPhone und Cygwin unter Windows.
• Darüber hinaus ist der Kunde tragbar, und kann als eine native Windows-Binary kompiliert werden.

Was ist neu in der Version 2.0 RC5:

• Diese Version von OpenBSD PF-Unterstützung, fügt eine neue FORCE_NAT Modus, um transparent zu zwingen authentifizierte Verbindungen zu festgelegten internen Systemen, ergänzt ein umfassendes Test-Suite, und bietet die Möglichkeit, SPA Schlüssel automatisch aus.
• Mehrere Speicherverwaltung Bugfixes wurden.

Was ist neu in Version 1.9.12:

• Der FKO-Modul, das Teil des libfko Bibliothek wurde vollständig für alle SPA-Routinen integriert. Verschlüsselung / Entschlüsselung, verdauen Berechnung, Replay-Attacke Erkennung, usw.
• Die Fähigkeit, von der Schnittstelle Fehlerbedingungen zugegeben wurde, etwa wenn fwknopd schnüffelt eine PPP-Schnittstelle (beispielsweise mit einem VPN verbunden sind), die weg geht und dann neu erstellt wird.
• Die fwknop Client wurde aktualisiert, um den SPA Ziel, bevor die DNS-Auflösung beim Senden einer SPA-Paket über eine HTTP-Anforderung enthalten.