Strong password authentication
Geplaatst door Roy de Boer op 18 January 2010
Tag(s): Consultancy, Artikel
Eens in de twee weken bereidt een van onze medewerkers een praatje van ca. 45 minuten voor, over een zelf te kiezen onderwerp, bijvoorbeeld de 'uitkomst' van iemands hobbydagen. Het onderwerp mag praktisch of theoretisch van aard zijn en hoeft niet perse raakvlakken te hebben met allerdaagse werkzaamheden. Iedereen mag (en wordt aangemoedigd!) deze praatjes (te) geven, het maakt niet uit hoe lang iemand bij ons werkzaam is. Het doel is om het algemene kennisniveau te verhogen, om in aanraking te komen met materie die je niet tegenkomt in je dagelijkse google speurtochten bij het oplossen van bugs. We noemen deze reeks praatjes (met een glimlach) de Infi Academy.
De Infi Academy van maandag 18 januari 2010 is door mij gegeven en ging over 'Strong password authenticatie': Je identiteit bewijzen (=authenticatie) aan een computersysteem geschiedt meestal door middel van een geheim wachtwoord. Als je via een openbaar -en dus potentieel onveilig- netwerk communiceert, kan een wachtwoord worden afgeluisterd. Veelal wordt dit opgelost met versleuteling (https, ssh), wat weer een eigen klasse problemen met zich meebrengt: namelijk het controleren van de identiteit van de server. Dit kan worden opgelost met een trusted third party, bijvoorbeeld de Certificate Authorities bij https/ssl of het handmatig controleren van de host-key-fingerprint in het geval van ssh.
Nu is het aardige dat er een alternatief is, het Secure Remote Password protocol (SRP), dat geen trusted third party nodig heeft en nog andere fraaie eigenschappen heeft, die bijna te mooi om waar te zijn. De slides geven een 'magisch' inzicht in het protocol. Hoewel de slides geen opzichzelf staand document vormen, stellen wij deze toch beschikbaar voor de geinteresseerde.
