Re: One-way authentication

--===============0074880424==
Content-Type: text/plain; charset=us-ascii
Content-Disposition: inline

On Mon, Jul 10, 2006 at 11:56:44AM +0200, Alessio wrote:

> Un classico trucco per "nascondere" questa necessita' e' usare come chiavi
> di cifratura/decifratura di un cifrario simmetrico l'orologio delle macchine,
> supponendo di riuscire a mantenerlo sempre sincronizzato.
> Tuttavia, questo introduce delle problematiche implementative: la reale
> sincronizzazione non puo' esistere (Einstein disse) e per tanto bisogna
> creare delle finestre temporali entro cui autenticarsi.
> E' piu' o meno lo stesso principo dei token RSA normalmente in commercio.

Scusate per il self-quote, mi rendo conto di non esser stato chiaro.
Scritto cosi' l'algoritmo e' completamente weak: sapendo che l'informazione
temporale e' la chiave, che e' pubblica a tutti, e sapendo l'algoritmo di
cifratura simmetrica, chiunque e' un possibile attaccante.
Inoltre, anche se questo non fosse il problema, i 32 bit 
dell'informazione temporale sono comunque pochi.
In casi del genere e' invece utile usare HMAC o qualcosa di simile.

Alessio "non-sei-chiaro" Orlandi




--===============0074880424==
Content-Type: text/plain; charset="iso-8859-1"
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Disposition: inline

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
--===============0074880424==--