एक खुले चैनल पर पासवर्ड पास करना (भाग 2)

लेख के पहले भाग में उस स्थिति पर चर्चा की गई है, जब किसी कारण से, हम यातायात की सुरक्षा के लिए https का उपयोग नहीं कर सकते हैं। उसी समय, खुले रूप में प्रेषित पासवर्ड स्कैमर के लिए एक आसान शिकार बन जाता है। लेख में प्रस्तावित विधि ने पासवर्ड हाइजैकिंग के खतरे से छुटकारा पाने या पासवर्ड हैश के डेटाबेस को चुराने के लिए संभव बना दिया है, लेकिन एक हमलावर से पहले शक्तिहीन था जो ट्रैफिक का मालिक और नियंत्रण करता है। नीचे दी गई विधि अधिक सुरक्षित है लेकिन अधिक जटिल है।


लेख के पहले भाग में वर्णित प्रमाणीकरण एल्गोरिथ्म के लाभों में से एक उपयोगकर्ता के लिए पारदर्शी रूप से मौजूदा सेवाओं में इसे लागू करने की क्षमता थी। यह समाधान इसकी अनुमति नहीं देता है, क्योंकि पासवर्ड अब सर्वर डेटाबेस में संग्रहीत नहीं है, लेकिन आरएसए कुंजी। असममित क्रिप्टोग्राफी का विकल्प डेटाबेस में सूचना (सार्वजनिक कुंजी) को संग्रहीत करने की क्षमता के कारण होता है, इसका खुलासा पासवर्ड के लिए खतरा पैदा नहीं करता है। आज का सबसे आम कुंजी आकार RSA 1024 बिट है। ऐसी कुंजी को याद रखना और इसे मैन्युअल रूप से दर्ज करना अवास्तविक है। इससे बचने के लिए, निजी कुंजी को सर्वर पर भी संग्रहीत किया जाता है, लेकिन एन्क्रिप्टेड रूप में। एन्क्रिप्शन कुंजी उपयोगकर्ता के पासवर्ड के आधार पर उत्पन्न होती है। यह बेशक एक "बैसाखी" है, लेकिन जब एक पासवर्ड को एक गुप्त के रूप में उपयोग किया जाता है, तो यह "बैसाखी" अपरिहार्य है।

पंजीकरण प्रक्रिया इस प्रकार है:

1. क्लाइंट एक उपयोगकर्ता नाम और पासवर्ड चुनता है;
2. ग्राहक RSA कुंजी युग्म बनाता है। सार्वजनिक कुंजी ई, एन और निजी कुंजी डी, एन ;
3. निजी कुंजी d, N को AES द्वारा कूटशब्द कूट k का उपयोग करके एन्क्रिप्ट किया गया है;
4. क्लाइंट सर्वर को भेजता है, और सर्वर बचाता है - लॉगिन, सार्वजनिक कुंजी ई, एन और निजी कुंजी डी, एन कुंजी k पर एन्क्रिप्टेड।

प्रमाणीकरण प्रक्रिया इस प्रकार है:

1. क्लाइंट सर्वर पर एक लॉगिन भेजता है;
2. सर्वर क्लाइंट को सार्वजनिक कुंजी e, N और एन के एन्क्रिप्टेड निजी कुंजी d, N के साथ एन्क्रिप्टेड एक यादृच्छिक संख्या भेजता है;
3. क्लाइंट पासवर्ड दर्ज करता है, जिससे कुंजी k बनता है और उसकी निजी कुंजी d, N को डिक्रिप्ट करता है;
4. D, N कुंजी का उपयोग करते हुए , क्लाइंट RND को डिक्रिप्ट करता है और इसे हैश सर्वर (RND) पर भेजता है;
5. सर्वर सर्वर पर उत्पन्न हैश (RND) के साथ प्राप्त हैश की तुलना करता है।

फिर से संलग्न एक डेमो और स्रोत कोड है । नमूना एईएस क्रिसा वेनेज़ लाइब्रेरी, आरएसए जे-एन्क्रिप्शन लाइब्रेरी और स्टैनफोर्ड छात्रों द्वारा लिखे गए आरएसए पुस्तकालय का उपयोग करके तैयार किया गया था।

मुझे आशा है कि एक और, "सुंदर" समाधान, मैं अगले लेख में वर्णन करूंगा।
UPD: जैसा कि वादा किया गया है - habrahabr.ru/blogs/web_security/120990