Re: One-way authentication

On 7/10/06, [email protected] <[email protected]> wrote:
> >Sicuramente aiuterebbe a comprendere il tuo problema.
> Il progetto che ho sviluppato e' un semplice sistema di port knocking.
> Da una parte c'=E8 un client che manda una determinata sequenza di pacche=
tti
> verso un server (es: 3 pacchetti TCP SYN sulle porte 1000, 1001, 1002).
> Dall'altra parte c'=E8 un server con sopra uno knockd che recepisce tali
> pacchetti e che, nel caso in cui si verifichi un matching di sequenza, es=
egue
> un comando.
> Il tutto funziona ma senza alcun tipo di autenticazione. Qualunque man in=
 the
> middle potrebbe quindi prendere visione della sequenza e replicarla a sua=
 volta
> per interagire con lo knockd.
> Da qui la necessit=E0 di autenticazione.

E usare una sorta di one-time-key? Puoi giocare su una determinata
sequenza di porte + bytes pseudorandom nel payload, nota solo al
client e al server, generate a (pseudo) random. Cosi` che la n-th
volta il syn e` sulle 1000, 1001, 1002, la n-th+1 sulla 1002, 1001,
1000, e via dicendo.
Ovviamente per evitare denial of service o sovraccarico o bruteforcing
il server dovrebbe bannare sotto certe condizioni (troppi tentativi
non andati a buon fine), oppure limitare il ratio dei fallimenti.

imho, of course.

--=20
:lorenzo grespan
GPG Key fingerprint =3D 5372 1B49 9E61 747C FB9A  4DAE 5D2A A9A0 74B4 8F1A
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List