A password based key establishment protocol with symmetric key cryptography

Abstract

2005 yılında Laih, Ding ve Huang güvenli olmayan bir kanalda kullanıcı ve sunucunun birbirlerinin kimliklerini doğrulayabileceği ve zayıf bir paroladan güçlü bir oturum anahtar üretimini sağlayan bir protokolü tanıttılar. Bu protokolde, kullanıcıların kimliğini doğrulamak ve şifreyi zayıf birçok şifre tabanlı protokolü tehdit eden çevrimdışı sözlük saldırısına karşı korumak için bir imge fonksiyonuyla bir biçim bozma fonksiyonun birleşimi olan üzel bir fonksiyon kullanılmıştır. Her ne kadar protokolün çevrimdışı sözlük saldırılarına karşı dahi güvenli olduğunu iddia etseler de, Tang ve Mitchell 223'lük bir makine işlmiyle yaklaşık olarak 2.3 saat içerisinde sistemin kırılabileceğini göstermişlerdir. Dolayısıyla çevrimdışı sözlük saldırılarına karşı güvenli bu tür bir protokol tasarımı hala açık problem olarak durmaktadır. Bu çalışmada bu problemi yalnızca simetrik kripto kullanarak çözecek bir model önerilmektedir.

In 2005, Laih, Ding and Huang proposed a password-based key establishment protocol such that a user and a server can authenticate each other and generate a strong session key by their shared weak password within a symmetric cipher in an insecure channel. In this protocol, a special function which is a combination of a picture function and a distortion function is combined to authenticate the user and protect the password from the dictionary attacks that are major threats for most of the weak password-based protocols. They claim that the proposed protocol is secure against some well known attacks. However Tang and Mitchell shows that the protocol suffers from an offline dictionary attack requiring a machine based search of size 223 which takes only about 2.3 hours. So designing such a protocol with providing practical security against offline attack is still an open problem. In this study, a password-based authenticated key establishment protocols is proposed that provide practical security against offline dictionary attacks by only using symmetric cryptography.