Secure remote password protokolünün SIP kimlik doğrulama mekanizmasına uygulanması
Applying secure remote password protocol on SIP authentication
Yazar: CELALETTİN KILINÇ
Danışman: YRD. DOÇ. DR. A. GÖKHAN YAVUZ
Yıldız Teknik Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2008
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
SIP'in tasarım itibariyle basit bir protokol olması sebebiyle güvenlik anlamında çok sağlam bir yapı geliştirilmemiş, örneğin kimlik doğrulamada doğrudan HTTP'deki güvenlik mekanizması kullanılmıştır. Bu yapı ise sistemi birçok saldırı tehlikesi ile karşı karşıya bırakabilmektedir. Örneğin, kimlik doğrulama sırasında şifrenin doğrudan veya kıyım(hash) fonksiyonundan geçirilmiş hali ile iletişimde kullanılması, sistemi bir sözlük saldırısına açık hale getirmektedir. SIP, VoIP protokolleri arasında önemli bir yere sahiptir. Gelecekte klasik telefon sistemlerinin yerini internet tabanlı sistemlerin alması hedeflenmektedir. Bunun gerçekleşebilmesi için güvenlik ve servis kalitesi olarak daha iyi yerlere ulaşılması gerekmektedir. Tasarım sırasında basit önlemler ile geçiştirilen güvenlik konusu SIP'in kullanım alanı yaygınlaştıkça daha önemli hale gelmiştir ve güvenliğin artırılması ile ilgili yapılan çalışmalar hız kazanmıştır.Bu çalışmada SIP kimlik doğrulama mekanizması incelenmiş, açıkları ve maruz kalabileceği saldırı tehlikeleri ele alınmıştır. Daha sonra SIP güvenliği ile ilgili yapılan birkaç çalışmaya değinilmiştir. SIP kimlik doğrulama sistemine alternatif olabilecek kimlik doğrulama yöntemleri incelenmiştir. Daha sonra bunlar arasından seçilen SRP protokolünün SIP kimlik doğrulama mekanizmasına uygulaması yapılmıştır.SRP protokolü kullanılarak, şifre iletişimde hiç kullanılmadan, ön tanımlı matematiksel bağıntılardan yararlanılarak kimlik doğrulama işlemi gerçekleştirilmektedir. Şifrenin düz metin veya kıyım karşılığının iletişimde kullanılmaması sistem güvenliğini önemli derecede artırmaktadır. SIP, yapı itibari ile basit ve esnek bir protokoldür. Protokol üzerinde yapılacak değişiklikler, eklemeler, iyileştirmeler bu basitliği ve esnekliği bozmamalı ve performans kaybına neden olmamalıdır. Güvenlik iyileştirmeleri ile ilgili çalışırken bu konu göz ardı edilmemelidir. Bu çalışmada kullanılan SRP protokolünün çalışma yapısı ile SIP kimlik doğrulama arasındaki paralellik bu konuda bir kolaylık sağlamıştır. Protokolde yapılan küçük değişikliklerle bu iyileştirme gerçekleştirilmiştir.Anahtar Kelimeler: SIP güvenliği, voip, güvenlik, kimlik doğrulama, secure remote password

Abstract:
Session Initiation Protocol (SIP) is a simple and flexible signalling protocol. Because of its simple structure it has not a strict security mechanism. HTTP digest authentication mechanism is used in SIP authentication. This simple security structure can be face a lot of security threats. For example using the plaintext or hash equivalent in communication can cause to a dictionary attack. SIP is the leading protocol used in IP telephony today. By the increasing use of IP telephony and also SIP, features like QoS and security are becoming more and more important. In the future IP based telephony systems are expected to replace the traditional telephony systems. Security and qulity of service issues in IP based telephony systems must be enhanced to do this replacement.In this study, SIP authentication mechanism is analysed, security threats and possible attacks are investigated, some of the other studies on SIP authenticaiton is placed. After looking at alternative authentication mechanisms to SIP, SRP is choosen as a new authenticaiton in SIP. Applying of SRP in SIP is shown with additional protocol steps and message formats.By applying SRP on SIP authenticaiton, new authentication mechanism works without sending client passwords neither plaintext nor hashed. Not using the password in communication provides a serious enhancement in the security mechanism of SIP. Modifications on the protocol must not damage this simplicity and it must not cause a noticable effect on performance. While working on security these aspects must not be ommited. In this study, similarity between SRP protocol and SIP authentication provide convenience. This refinement is applied with minor modifications to the original SIP protocol and without noticable impact on the performance.Keywords: SIP security, voip, security, authentication, secure remote password