ポートノッキングで10秒間だけsshdを公開する設定 - hnwの日記

先日Twitterに次のような書き込みをしたところ思ったより反応が良かったので、詳細の設定を紹介します。 UDP53番、TCP443番、UDP123番とポートノッキングをするとTCP443番に10秒だけsshdが現れる、という中二病全開の設定をした。皆様にもお勧めしたい。— hnw (@hnw) 2017年3月26日 といっても特殊なことをしたわけではなく、knockdでポートノッキングの設定を行い、iptablesと組み合わせて実現しました。 ポートノッキングとは ポートノッキングというのは、決められたポートを決められた順番で叩くことでファイアーウォールに穴を空けられるような仕組みのことです。ポートノッキングを使えば、TCPの7000番、8000番、9000番の3ポートにパケットを送りつけると22番ポート (SSH) へのアクセスが許可される、といった設定ができます。 ポートノッキングの

[uva]

knockd portをlistenしないので攻撃者に仕込まれると気づきにくいな

[ssids]

懐かしの POP before SMTP みたいな感じ

[hevohevo]

「いいか。あの防火壁の何の変哲もない数か所のポイントをノックするんだ。そうすれば金庫へのアクセス経路が出現する。しかも出現時間は10秒でノックした本人にしか見えない」　中二かっこええ。素晴らしい。

[ebo-c]

勇気をだーしてのーっくノック小さな小さな大冒険(10秒間)

[cateching]

実用性ないけど、面白いからやってみる&紹介してみるってのは大事ですな。一見くだらないけど思わぬ応用の発見に繋がりそう。

[azumakuniyuki]

この仕組みは面白いな、答えが数値になるクイズ数問を解いたら繋げるとかできるし。

[koyancya]

っすよね。ロマンしかない。だがそれがいい -> “ポートノッキングに利用するパケットはそのままネットワーク上を流れますから”

[trashcan]

L⇔R?

[bohemian916]

「侵入経路を見つけたが、10秒しかアクセスできない」「10秒あれば十分だ」というハッカー漫画や映画のネタになりそう

[rerofumi]

「合い言葉は、山」「川」「よし通れ」

[uskey]

かっこいい

[HHR]

knockd iptables

[hdkINO33]

“基本的には「カッコいい」以外のメリットがない仕掛け” だがそれがいい。

[naga_sawa]

10秒間だけ開くsshd/日々殴られっぱなしの sshd が殴られログを吐かなくなるって実用性がある

[noijinkoiun]

ポートノッキングで10秒間だけsshdを公開する設定 - hnwの日記 (id:hnw)

[gallu]

面白いんだけど単語とか用語とか色々忘れそうなので、遅ればせながら、ブクマ。

[ginpei]

特定のポートを順に叩くことで目的のポートを一定時間だけ公開する「中二病全開の設定」。順に叩く側のスクリプトも。攻撃者が経路上にいるとすぐばれるので安全性は低め。でもやっぱ格好良いよね。

[Metaphone]

おでんではなくポートをツンツンする

[fuktommy]

ポートノッキングで10秒間だけsshdを公開する設定 - hnwの日記 (id:hnw)

[dubmi]

トイレのドアをノックしたら「どうぞ」って返ってくる感じか

[sonots]

使うことはなさそうだけど面白いのでブクマ

[rx7]

面白い。

[six13]

こういう仕込みのテクニック、覚えておきたい。

[itochan]

「３、１、２とノックせよ」　／　POP before SMTP みたいな仕組み。

[mktakuyax]

ダイアゴン横丁のレンガのアレみたいでかっこいい

[hibariya]

いい。

[richard_raw]

ノッキング用のデーモンがあるとは……。

[tyru]

knockd なんてのがあるのか

[y-kawaz]

うちはRESTでOAuthトークン+ワンタイムパスワード（TOTP）を投げたらセキュイティグループに一定時間VPNの口が開くような仕組み作っとる。

[toritori0318]

こんなんできるのか

[rryu]

『「カッコいい」以外のメリットがない仕掛け』かっこいい。

[lazex]

おもしろい。けどこれって順番にアクセスする途中で別のユーザがTCP80にアクセスとかしたら妨害できるの？アクセス元IPごとに管理なのかな？

[kabacsharp]

すげ。

[babydaemons]

へー、面白い

[KoshianX]

ああこれよいだろう普通に。アタッカーが経路にいない限りノックパターンなんかわかんないんじゃない？ うちも設定してみるかなー。

[rsky]

I'm knockin' on your door.

[ravelll]

w

[snjx]

こんな仕組みがあるの。ほほう

[fashi]

「途中経路でのネットワーク盗聴などがあれば簡単に再現できてしまいます」 なんとか時間毎に変化する合い言葉みたいなのにしてみたいものだな

[shimooka]

『基本的には「カッコいい」以外のメリットがない仕掛け』カッコいい