Re: One-way authentication

--===============1541370147==
Content-Type: text/plain;charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

Alessio wrote:
>> Se ve ne e' il bisogno posso scendere piu' nei particolari illustrando i=
l=20
motivo=20
>> per cui ho tale necessita'.
>
>Sicuramente aiuterebbe a comprendere il tuo problema.

Il progetto che ho sviluppato e' un semplice sistema di port knocking.=20
Da una parte c'=C3=A8 un client che manda una determinata sequenza di pacch=
etti=20
verso un server (es: 3 pacchetti TCP SYN sulle porte 1000, 1001, 1002).=20
Dall'altra parte c'=C3=A8 un server con sopra uno knockd che recepisce tali=
=20
pacchetti e che, nel caso in cui si verifichi un matching di sequenza, eseg=
ue=20
un comando.=20
Il tutto funziona ma senza alcun tipo di autenticazione. Qualunque man in t=
he=20
middle potrebbe quindi prendere visione della sequenza e replicarla a sua v=
olta=20
per interagire con lo knockd.
Da qui la necessit=C3=A0 di autenticazione.=20

>Il succo del discorso e': senza un quantitativo di informazione precondivi=
sa,
>pressoche' impossibile (secondo le mie conoscenze).
>Un classico trucco per "nascondere" questa necessita' e' usare come chiavi
>di cifratura/decifratura di un cifrario simmetrico l'orologio delle macchi=
ne,
>supponendo di riuscire a mantenerlo sempre sincronizzato.
>Tuttavia, questo introduce delle problematiche implementative: la reale
>sincronizzazione non puo' esistere (Einstein disse) e per tanto bisogna
>creare delle finestre temporali entro cui autenticarsi.

E' la stessa soluzione a cui avevo pensato io: impiegare nel payload un val=
ore=20
derivante da [$orario_GMT + password]. Il problema =C3=A8 che il tutto rest=
a cmq=20
vulnerabile al solito MITM per tutto il tempo di durata della finestra=20
temporale, senza contare il fatto che dovrei dipendere da server NTP di ter=
ze=20
parti per la sincronizzazione oraria, server che se sono offline vanificano=
=20
l'intero sistema di autenticazione.

>In casi del genere e' invece utile usare HMAC o qualcosa di simile.

Dovr=C3=B2 documentarmi a riguardo.=20
Ad ogni modo, visto lo scenario che ho descritto, HMAC potrebbe essere=20
impiegato nel mio caso? Se si in che modo?


billiejoex

--===============1541370147==
Content-Type: text/plain; charset="iso-8859-1"
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Disposition: inline

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
--===============1541370147==--