OAuth2-Proxy - гибкий инструмент с открытым исходным кодом, который может работать как автономный обратный прокси (reverse proxy)-сервер или как компонент промежуточного программного обеспечения (middleware), интегрированный в существующие настройки обратного прокси-сервера или балансировщика нагрузки.

Он обеспечивает простой и безопасный способ защиты ваших веб-приложений с помощью аутентификации OAuth2 / OIDC. Как обратный прокси-сервер, он перехватывает запросы к вашему приложению и перенаправляет пользователей к поставщику OAuth2 для аутентификации. Как промежуточное программное обеспечение, он может быть бесшовно интегрирован в вашу существующую инфраструктуру для обработки аутентификации для нескольких приложений.

OAuth2-Proxy поддерживает множество поставщиков OAuth2, а также OIDC. Либо через универсальный клиент OIDC, либо через специальную реализацию для Google, Microsoft Entra ID, GitHub, login.gov и других. С помощью специализированных реализаций поставщиков oauth2-proxy может извлекать больше информации о пользователе, например, предпочтительные имена пользователей и группы. Затем эти данные можно пересылать в виде заголовков HTTP в ваши вышестоящие приложения.

https://github.com/oauth2-proxy/oauth2-proxy

опубликовано в @gitgate

#security #oauth #oidc #proxy #middleware

CamXploit - разведывательный инструмент, разработанный для того, чтобы помочь исследователям и специалистам по безопасности проверить, не размещена ли на IP-адресе незащищённая камера видеонаблюдения. Он сканирует распространённые порты камер, проверяет страницы входа, тестирует учётные данные по умолчанию и предоставляет полезные ссылки для дальнейшего исследования.

⚠️ Отказ от ответственности: этот инструмент предназначен исключительно для образовательных и исследовательских целей в области безопасности. Несанкционированное сканирование систем, которым вы не владеете, незаконно. Используйте его ответственно.

Возможности:
- сканирует все распространенные порты видеонаблюдения
- обнаруживает открытые страницы входа в систему с помощью камеры
- проверяет, является ли устройство камерой для потоковой передачи
- определяет марки камер и известные уязвимости
- тестирование учетных данных по умолчанию на страницах входа
- предоставляет ссылки для ручного поиска (Shodan, Censys, Zoomeye, Google Dorking)
- рекомендации Google Dorking для более глубокой разведки
- улучшенное обнаружение камер с подробным анализом портов и идентификацией бренда
- обнаружение прямой трансляции по протоколам RTSP, RTMP, HTTP и MMS
- подробная информация об IP-адресе и местоположении со ссылками на Google Maps/Earth
- многопоточное сканирование портов для более быстрых результатов
- улучшенная обработка ошибок и поддержка SSL
- детальное определение марки камеры (Hikvision, Dahua, Axis, Sony, Bosch, Samsung, Panasonic, Vivotek, CP Plus)
- поддержка протокола ONVIF для стандартизированной связи с камерами
- умная защита от перебора паролей с ограничением скорости
- подробный анализ портов с указанием информации о сервере и типах аутентификации

https://github.com/spyboy-productions/CamXploit

опубликовано в @gitgate

#security #ipcamera #onvif

VoidAuth - провайдер SSO-аутентификации и управления пользователями с открытым исходным кодом, который защищает ваши приложения, размещенные на собственном сервере. Он прост в использовании как для администраторов, так и для конечных пользователей и поддерживает такие полезные функции, как пароли, приглашение пользователей, самостоятельная регистрация, поддержка по электронной почте и многое другое!

Возможности:
- поставщик OpenID Connect (OIDC)
- proxy ForwardAuth
- управление пользователями
- самостоятельная регистрация пользователей и приглашения
- настраиваемый брендинг (логотип, заголовок, цвет темы, шаблоны электронной почты)
- ключи доступа и учетные записи, требующие только ключей доступа
- безопасный сброс пароля с помощью подтверждения электронной почты
- шифрование с использованием базы данных Postgres или SQLite

https://github.com/voidauth/voidauth/

Web: https://voidauth.app/

Опубликовано в @gitgate

#sso #openid #passkey #security #auth

ssh-audit - инструмент для аудита конфигурации SSH-сервера и клиента.

Возможности:
- анализ конфигурации SSH как на сервере, так и на клиенте;
- захват баннера, распознавание устройства или программного обеспечения и операционной системы, обнаружение сжатия;
- сбор алгоритмов обмена ключами, ключей хоста, шифрования и аутентификации сообщений;
- информация о безопасности алгоритма (с какого времени, удален/отключен, небезопасен/слаб/устаревший и т. д.);
- рекомендации по алгоритму (добавлять или удалять в зависимости от распознанной версии программного обеспечения);
- анализ совместимости версий SSH на основе информации об алгоритме;
- историческая информация из OpenSSH, Dropbear SSH и libssh;
- проверка политик безопасности для обеспечения соответствия защищенной/стандартной конфигурации;
- работает на Linux и Windows;
- поддерживает Python 3.9 - 3.13;
- нет зависимостей

https://github.com/jtesta/ssh-audit

Подсказал: Max Zotov - @Sf1nk5

Опубликовано в @gitgate

#ssh #security #audit

PatchMon - обеспечивает централизованное управление обновлениями в различных серверных средах. Агенты обмениваются данными с сервером PatchMon только по исходящим каналам, исключая входящие порты на контролируемых хостах, обеспечивая при этом всестороннюю видимость и безопасную автоматизацию.

Возможности:
- настраиваемая панель управления с возможностью создания и упорядочивания карточек для каждого пользователя.
- многопользовательские учетные записи (администратор и обычные пользователи)
- роли, разрешения и RBAC
- список хостов/групп с ключевыми атрибутами и сведениями об операционной системе.
- группировка хостов (создание и управление группами хостов)
- инвентаризация пакетов на всех хостах
- обзор и количество устаревших пакетов.
- отслеживание количества репозиториев на хост
- управление версиями агента и хранение содержимого скриптов в базе данных.
- URL/протокол/хост/порт сервера
- переключатель регистрации и выбор роли пользователя по умолчанию
- REST API по адресу /api/v1 с аутентификацией JWT.
- автоматическая регистрация контейнеров LXC в Proxmox
- ограничение скорости запросов для общих, авторизационных и агентских конечных точек.
- модель агента, работающего только с исходящими трафиками, уменьшает поверхность атаки.
- установка Docker и однострочный установщик для самостоятельного размещения (Ubuntu/Debian)
- служба systemd для управления жизненным циклом бэкэнда
- виртуальный хост nginx для фронтенда + API-proxy; опциональная интеграция с Let's Encrypt.

https://github.com/PatchMon/PatchMon

Web: https://patchmon.net/

Опубликовано в @gitgate

#apt #update #packages #security #moni

Gateryx - решение для межсетевого экрана веб-приложений (WAF), которое обеспечивает полностью интегрированный, высокозащищенный веб-шлюз, объединяя обратный прокси-сервер нового поколения и современный поставщик идентификационных данных в единый, оптимизированный продукт. Созданное на основе быстрой, проверенной в боевых условиях криптографии на эллиптических кривых (P-256), оно обеспечивает аутентификацию Passkey без пароля, токены JWT и OIDC, подписанные с помощью ES256, а также административный доступ, защищенный ECDSA.

Возможности:
- Zero-Trust API Gateway: Обеспечьте идентификацию на периферии сети с помощью проверки JWT ES256 до того, как трафик достигнет веб-сервисов.
- вход для клиентов без пароля: Аутентификация с помощью пароля/WebAuthn для беспрепятственного доступа пользователей, защищенного от фишинга.
- корпоративный SSO и OIDC: Компактный, интегрированный поставщик идентификации OIDC для внутренних инструментов, облачных приложений, порталов разработчиков и панелей мониторинга.
- усиленная административная панель управления. Защита административных конечных точек с помощью запросов, подписанных по RFC 9421 ECDSA - без паролей, без токенов носителя.
- высокопроизводительный уровень безопасности на уровне сети: Сверхнизкая задержка при входящем трафике благодаря парам сокетов «ведущий-ведомый» и облегченным путям проверки.
- мгновенное развертывание: Замените множество инструментов (поставщик идентификации, служба аутентификации, входящий трафик, API-шлюз) одним продуктом, одной конфигурацией, одним развертыванием.
- написано на Rust: легковесное, невероятно быстрое, с минимальным потреблением памяти, предназначено для работы во встроенных системах и виртуальных устройствах с ограниченными ресурсами.

https://github.com/eva-ics/gateryx

Опубликовано в @gitgate

#security #firewall #proxy #waf #jwt #oidc #passkey

git-secret - инструмент bash, который хранит закрытые данные внутри репозитория Git. git-secret шифрует файлы с помощью открытых ключей разрешенных пользователей, позволяя пользователям, которым вы доверяете, получать доступ к зашифрованным данным с помощью PGP и их секретных ключей.

С помощью git-secret изменение прав доступа упрощается, а вопросы, связанные с закрытым и открытым ключами, решаются автоматически.

Когда права доступа пользователя отзываются, секреты не нужно изменять с помощью git-secret - достаточно удалить ключ пользователя из хранилища ключей репозитория с помощью команды git secret removeperson their@email.com, повторно зашифровать файлы, и пользователь больше не сможет расшифровать секреты. Если вы считаете, что пользователь мог скопировать секреты или ключи, имея доступ, то вам также следует изменить секреты.

Утилита входит в состав базовых репп почти всех дистрибутивов Linux

https://github.com/sobolevn/git-secret

Опубликовано в @gitgate

#git #bash #secret #security

dpi-checkers - инструменты проверки, позволяющие определить, использует ли ваш домашний интернет протокол DPI, а также конкретные методы (и их параметры), которые цензор использует для введения ограничений.

!!! ПРЕДУПРЕЖДЕНИЕ !!!
Весь контент в этом репозитории предоставляется исключительно в исследовательских и образовательных целях . Вы несете единоличную ответственность за обеспечение соответствия использования вами любого кода, данных или информации из этого репозитория всем применимым законам и нормативным актам вашей юрисдикции.
Авторы и участники проекта не несут ответственности за любое неправомерное использование или нарушения, возникшие в результате использования данных материалов

https://github.com/hyperion-cs/dpi-checkers

Опубликовано в @gitgate

Подсказал: @shadow6

#security #dpi

Gateryx - решение для межсетевого экрана веб-приложений (WAF), которое обеспечивает полностью интегрированный, высокозащищенный веб-шлюз, объединяя обратный прокси-сервер нового поколения и современный поставщик идентификационных данных в единый, оптимизированный продукт. Созданное на основе быстрой, проверенной в боевых условиях криптографии на эллиптических кривых (P-256), оно обеспечивает аутентификацию Passkey без пароля, токены JWT и OIDC, подписанные с помощью ES256, а также административный доступ, защищенный ECDSA.

Возможности:
- API-шлюз с нулевым доверием. Обеспечьте идентификацию на периферии сети с помощью проверки JWT ES256 до того, как трафик достигнет веб-сервисов.
- вход для клиентов без пароля. Аутентификация с помощью пароля/WebAuthn для беспрепятственного доступа пользователей, защищенного от фишинга.
- корпоративный SSO и OIDC. Компактный, интегрированный поставщик идентификации OIDC для внутренних инструментов, облачных приложений, порталов разработчиков и панелей мониторинга.
- усиленная административная панель управления. Защита административных конечных точек с помощью запросов, подписанных по RFC 9421 ECDSA - без паролей, без токенов носителя.
- высокопроизводительный уровень безопасности на периферии сети. Сверхнизкая задержка при входящем трафике благодаря парам сокетов «ведущий-ведомый» и облегченным путям проверки.
- мгновенное развертывание. Замените множество инструментов (поставщик идентификации, служба аутентификации, входящий трафик, API-шлюз) одним продуктом, одной конфигурацией, одним развертыванием.
- написано исключительно на Rust: легковесное, невероятно быстрое, с минимальным потреблением памяти, предназначено для работы во встроенных системах и виртуальных устройствах с ограниченными ресурсами.

https://github.com/eva-ics/gateryx

Опубликовано в @gitgate

#security #web #waf #idp

Sudo for Windows - позволяет пользователям windows запускать команды с правами администратора непосредственно из окон терминала без этих прав.

Встроенная версия sudo доступна для сборок Windows 11 26045 и более поздних версий. Если вы используете сборку для участников программы Windows Insider, в которой есть sudo, вы можете включить его в приложении «Параметры Windows» на странице «Возможности для разработчиков».

Все аспекты, касающиеся прав доступа и работы с командной строкой, отличаются в Windows и Linux. Этот проект не является форком проекта sudo для Unix/Linux и не является его портом. Вместо этого Sudo for Windows - это реализация концепции sudo, специфичная для Windows.

Поскольку это совершенно разные приложения, вы обнаружите, что некоторые элементы традиционного интерфейса sudo отсутствуют в Sudo для Windows, и наоборот. Скрипты и документация, написанные для sudo, могут быть недоступны для непосредственного использования с Sudo для Windows без некоторых модификаций.

https://github.com/microsoft/sudo

Опубликовано в @gitgate

#windows #security #sudo

NetWatch - диагностика сети в реальном времени прямо в вашем терминале. Одна команда, никакой настройки, мгновенный обзор.

Большинство сетевых инструментов заставляют вас выбирать: наблюдать за происходящим (iftop, bandwhich) или анализировать пакеты (Wireshark, tshark). NetWatch делает и то, и другое в одном терминале - от общего обзора до анализа отдельных байтов пакетов.

https://github.com/matthart1983/netwatch

Подсказал: Eliot Spencer - @tehn0mad

Опубликовано в @gitgate

#moni #network #security

Backhaul - высокопроизводительное решение для обратного туннелирования, оптимизированное для обработки большого количества одновременных подключений через NAT и межсетевые экраны. В этом файле README вы найдете инструкции по настройке серверных и клиентских компонентов, включая подробную информацию о различных транспортных протоколах.

Возможности:
- высокая производительность: оптимизировано для эффективной обработки большого количества одновременных подключений.
- гибкость протокола: Поддерживает протоколы TCP, WebSocket (WS) и Secure WebSocket (WSS).
- UDP поверх TCP: Реализует инкапсуляцию и пересылку UDP-трафика через TCP-соединение для надежной доставки со встроенным управлением перегрузкой.
- мультиплексирование: Обеспечивает возможность установления множественных соединений по одному транспортному протоколу с использованием SMUX.
- обход NAT и брандмауэра: преодолевает ограничения с помощью обратного туннелирования.
- анализ сетевого трафика: Дополнительный мониторинг сетевого трафика с поддержкой ведения журналов.
- настраиваемый механизм поддержания соединения: регулируемые интервалы поддержания соединения и пульсации для обеспечения стабильного соединения.
- шифрование TLS: Защищенные соединения через WSS с поддержкой пользовательских TLS-сертификатов.
- веб-интерфейс: Мониторинг в реальном времени через облегченный веб-интерфейс.
- функция «Горячая перезагрузка»: поддерживает динамическую перезагрузку конфигурации без перезапуска сервера.

https://github.com/Musixal/Backhaul

Опубликовано в @gitgate

#net #security #nat #firewall

Опубликовано в @gitgate

#net #security #nat #firewall

Throne (бывший Nekoray) - кроссплатформенная графическая утилита-прокси для настольных компьютеров на базе Qt, работающая на платформе Sing-box.

Поддерживает Windows 11/10/8/7 / Linux / MacOS без дополнительных настроек.

Поддерживает протоколы:
- SOCKS
- HTTP(S)
- Shadowsocks
- Trojan
- VMess
- VLESS
- TUIC
- Hysteria
- Hysteria2
- AnyTLS
- NaïveProxy
- Juicity
- TrustTunnel
- ShadowTLS
- Wireguard
- SSH
- Custom Outbound
- Custom Config
- Chaining outbounds
- Extra Core

https://github.com/throneproj/Throne

Опубликовано в @gitgate

#security #proxy #vpn

Permission Manager - приложение, разработанное компанией SIGHUP, которое обеспечивает чрезвычайно простое и удобное управление RBAC для Kubernetes. Если вы ищете простой и интуитивно понятный способ управления пользователями в кластере Kubernetes, вы попали по адресу.

С помощью Permission Manager вы можете создавать пользователей, назначать пространства имен/права и распространять файлы Kubeconfig YAML через удобный и простой веб-интерфейс.

https://github.com/sighupio/permission-manager

Опубликовано в @gitgate

#rbac #k8s #security

crowdsec_manager - веб-интерфейс управления CrowdSec. Принятие решений, оповещения, списки разрешенных пользователей, сценарии, центр управления, журналы, резервное копирование и интеграция с Traefik.

Плюс нативное iOS и Android приложение. Поддерживает режимы подключения Pangolin (удаленный доступ на основе токенов) и Basis (прямой URL).

https://github.com/hhftechnology/crowdsec_manager

Подсказал: Elliot Spencer - @tehn0mad

Опубликоввано в @gitgate

#security #firewall #crowdsec #traefik

OpenBao - программное решение для управления, хранения и распространения конфиденциальных данных, включая секреты, сертификаты и ключи.

Современная система требует доступа к множеству секретов: учетным данным базы данных, ключам API для внешних сервисов, учетным данным для взаимодействия в рамках сервисно-ориентированной архитектуры и т. д. Понимание того, кто и к каким секретам имеет доступ, уже само по себе очень сложно и зависит от платформы. Добавление механизма смены ключей, безопасного хранения и подробных журналов аудита практически невозможно без специального решения. Именно здесь на помощь приходит OpenBao.

Основные особенности OpenBao:
- надежное хранение секретов: в OpenBao можно хранить произвольные секреты в формате ключ/значение. OpenBao шифрует эти секреты перед записью в постоянное хранилище, поэтому для доступа к вашим секретам недостаточно просто получить доступ к самому хранилищу. OpenBao может записывать данные на диск, в PostgreSQL и другие системы.
- динамические секреты: OpenBao может генерировать секреты по запросу для некоторых систем, таких как AWS или базы данных SQL или S3.
- шифрование данных: OpenBao может шифровать и расшифровывать данные без их хранения. Это позволяет группам безопасности определять параметры шифрования, а разработчикам - хранить зашифрованные данные в таких местах, как база данных SQL, без необходимости разрабатывать собственные методы шифрования.
- аренда и продление: Все секреты в OpenBao имеют связанный с ними срок аренды. По истечении срока аренды OpenBao автоматически аннулирует этот секрет. Клиенты могут продлевать аренду с помощью встроенных API для продления.
- отзыв секретов: OpenBao имеет встроенную поддержку отзыва секретов. OpenBao может отзывать не только отдельные секреты, но и дерево секретов, например, все секреты, прочитанные конкретным пользователем, или все секреты определенного типа.

https://github.com/openbao/openbao

Опубликоввано в @gitgate

#vault #hashicorp #security

netscan - непрерывный мониторинг поверхности для атаки - рабочий процесс TUI для nmap.

netscan использует движок nmap в качестве основы для полноценного рабочего процесса: инвентаризация целевых объектов, сохраненные профили сканирования, потоковая передача результатов в реальном времени по мере поступления данных от каждого хоста и история сканирования с дифференциальным сканированием. Один исполняемый файл. При первом запуске настройка не требуется. Может работать в headless режиме как демон.

https://github.com/matthart1983/netscan

Опубликовано в @gitgate

#net #nmap #tui #security

Portmaster - бесплатный межсетевой экран с открытым исходным кодом, который берет на себя основную работу. Восстановите конфиденциальность и верните себе контроль над всей сетевой активностью вашего компьютера.

Благодаря отличным настройкам по умолчанию ваша конфиденциальность улучшается без каких-либо усилий. А если вы хотите настроить и контролировать все до мельчайших деталей, Portmaster предоставит вам такую ​​возможность.

Возможности:
- отслеживание всей сетевой активности
- полный контроль: блокировка всего
- автоматическая блокировка трекеров и вредоносного ПО
- настройка глобальных и индивидуальных настроек приложения
- защищенный DNS (Doh/DoT)

https://github.com/safing/portmaster

опубликовано в @gitgate

#firewall #security #net #win

psad - обнаружение вторжений и анализ журналов с помощью iptables

Детектор атак сканирования портов psad - это легковесный системный демон, написанный на языке программирования PERL, предназначенный для работы с кодом межсетевого экрана Linux iptables/ip6tables/firewalld для обнаружения подозрительного трафика, такого как сканирование и проверка портов, бэкдоры, обмен данными между командами и центрами управления ботнетов и многое другое. Он имеет набор настраиваемых пороговых значений опасности (с разумными значениями по умолчанию), подробные сообщения об ошибках, включающие источник, получателя, диапазон сканируемых портов, время начала и окончания, флаги TCP и соответствующие параметры nmap, информацию об обратном DNS, оповещения по электронной почте и syslog, автоматическую блокировку IP-адресов злоумышленников посредством динамической настройки правил iptables, пассивную идентификацию операционной системы и отчеты DShield. Кроме того, psad включает в себя многие сигнатуры TCP, UDP и ICMP, входящие в систему обнаружения вторжений Snort. psad способен обнаруживать подозрительные сканирования различных программ-бэкдоров (например, EvilFTP, GirlFriend, SubSeven), инструментов DDoS (Mstream, Shaft) и сложных сканирований портов (SYN, FIN, XMAS), которые легко использовать против машины с помощью nmap. psad также может оповещать о сигнатурах Snort Начиная с версии 2.4.4, psad также может обнаруживать фазу сканирования учетных данных IoT по умолчанию в ботнете Mirai.

Возможности:
- обнаружение TCP-сообщений типов SYN, FIN, NULL и XMAS, а также UDP-сообщений.
- поддерживается ведение журналов как для IPv4, так и для IPv6
- обнаружение множества правил сигнатуры из системы обнаружения вторжений Snort.
- анализ лог-файлов iptables/ip6tables в режиме криминалистического анализа
- пассивное определение операционной системы по отпечатку с помощью TCP-SYN-пакетов.
- уведомления по электронной почте, содержащие характеристики сканирования TCP/UDP/ICMP, информацию об обратном DNS и Whois, совпадения правил Snort, информацию о предполагаемой операционной системе удаленного устройства и многое другое.
- проверка полей заголовка типа и кода ICMP.
- настраиваемые пороговые значения сканирования и присвоение уровней опасности.
- анализ набора правил Iptables для проверки позиции политики "отключения по умолчанию".
- автоматическое назначение уровня опасности для IP-адреса/сети
- Оповещения DShield.
- Автоматическая блокировка сканируемых IP-адресов с помощью iptables/ip6tables и/или tcpwrappers в зависимости от уровня опасности сканирования.
- Анализ сообщений логов iptables/ip6tables и генерация CSV-файлов, которые можно использовать в качестве входных данных для AfterGlow. Также поддерживается Gnuplot.
- Режим состояния, отображающий сводку текущей информации о сканировании с указанием количества пакетов, цепочек iptables/ip6tables и уровней опасности.

является если не заменой, то дополнением к fail2ban и snort. Есть в репах почти всех дистрибутивов.. Очень нетребователен к ресурсам.

https://github.com/mrash/psad

Опубликовано в @gitgate

#net #security #firewall #iptables #ids

Autentico — это саморазмещаемый поставщик идентификационных данных OpenID Connect, разработанный на Go. Он обрабатывает полный цикл аутентификации: вход в систему, многофакторная аутентификация, пароли, управление сессиями, выдача токенов и администрирование. Все это в одном исполняемом файле, работающем на базе SQLite.

Auténtico хорошо подходит для:
- Небольшие команды и стартапы , которым нужен OAuth2/OIDC для своего продукта, но которые не хотят использовать полноценную платформу идентификации.
- Внутренние инструменты и приложения с самостоятельным размещением, где простота и низкие затраты на обслуживание важнее, чем функциональность корпоративного масштаба.
- Разработчики, оценивающие OIDC , хотят иметь в качестве рабочей, реальной платформы для тестирования, а не имитацию.
- Побочные проекты и независимые разработчики , которым необходима аутентификация пользователей без зависимости от сторонних сервисов или использования ресурсоемкого стека технологий.
- Для CI и тестовых наборов , которым необходим настоящий OIDC-провайдер в качестве тестового инструмента, Autentico запускается примерно за 375 мс, что делает практичным использование нового сервера для каждого теста без Docker или моков.
Она не предназначена для организаций, которым требуется горизонтальное масштабирование уровня аутентификации, развертывание в нескольких регионах в режиме актив-актив или функции обеспечения соответствия корпоративным требованиям (SCIM, федерация LDAP, пользовательские политики авторизации). Эти требования указывают на необходимость использования платформы управления идентификацией другого класса.

https://github.com/eugenioenko/autentico

Web: getautentico.dev/

Подсказал: Elliot Spencer - @tehn0mad

Опубликоввано в @gitgate

#security #auth #sso #openid