Was macht Tcha MCP Firewall?
Inline-Transport-Firewall zwischen Claude (oder einem beliebigen MCP-Host-Client) und den Toolausführungsservern. Setzt deterministische Grenzrichtlinien in unter 1 Millisekunde durch.
Matrix der Richtliniendurchsetzung
| Bedrohungsvektor | Angriffsmuster | Firewall-Aktion |
|---|---|---|
| Cloud-Metadaten-SSRF | http://169.254.169.254/..., metadata.google.internal | ABGELEHNT (403) — IP-Bereich blockiert |
| Path Traversal | ../../etc/passwd, ..\..\Windows\System32 | ABGELEHNT (403) — Arbeitsstammverzeichnis erzwungen |
| Zerstörerisches Terminal | rm -rf /, mkfs, format, dd if=/dev/zero | ABGELEHNT (403) — Blacklist für Binärmuster |
| Privilegieneskalation | chmod 777, sudo, Set-ExecutionPolicy Bypass | ABGELEHNT (403) — Strenge Benutzerberechtigungsobergrenze |
| Egress-Exfiltration | Ausgehende DNS/HTTP-Anfragen an unbestätigte Domänen | GEKENNZEICHNET / UNTER QUARANTÄNE |
Konfiguration für Claude Desktop
Tcha als Proxy-Wrapper in ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) oder %APPDATA%\Claude\claude_desktop_config.json (Windows) hinzufügen:
{
"mcpServers": {
"protected-tools": {
"command": "npx",
"args": ["-y", "tcha-protection", "guard", "--mcp"]
}
}
}
Leistung & Audit
- Abfang-Overhead: 0,42 ms Durchschnitt.
- Ausgabe: Gibt für jede erlaubte und blockierte Aktion überprüfbare kryptografische Nonces aus.
- Benchmark: 100/100 Neutralisierungsrate in der offiziellen Tcha Adversarial Test Suite.