Secure remote password protokolünün SIP kimlik doğrulama mekanizmasına uygulanması

Abstract

SIP'in tasarım itibariyle basit bir protokol olması sebebiyle güvenlik anlamında çok sağlam bir yapı geliştirilmemiş, örneğin kimlik doğrulamada doğrudan HTTP'deki güvenlik mekanizması kullanılmıştır. Bu yapı ise sistemi birçok saldırı tehlikesi ile karşı karşıya bırakabilmektedir. Örneğin, kimlik doğrulama sırasında şifrenin doğrudan veya kıyım(hash) fonksiyonundan geçirilmiş hali ile iletişimde kullanılması, sistemi bir sözlük saldırısına açık hale getirmektedir. SIP, VoIP protokolleri arasında önemli bir yere sahiptir. Gelecekte klasik telefon sistemlerinin yerini internet tabanlı sistemlerin alması hedeflenmektedir. Bunun gerçekleşebilmesi için güvenlik ve servis kalitesi olarak daha iyi yerlere ulaşılması gerekmektedir. Tasarım sırasında basit önlemler ile geçiştirilen güvenlik konusu SIP'in kullanım alanı yaygınlaştıkça daha önemli hale gelmiştir ve güvenliğin artırılması ile ilgili yapılan çalışmalar hız kazanmıştır.Bu çalışmada SIP kimlik doğrulama mekanizması incelenmiş, açıkları ve maruz kalabileceği saldırı tehlikeleri ele alınmıştır. Daha sonra SIP güvenliği ile ilgili yapılan birkaç çalışmaya değinilmiştir. SIP kimlik doğrulama sistemine alternatif olabilecek kimlik doğrulama yöntemleri incelenmiştir. Daha sonra bunlar arasından seçilen SRP protokolünün SIP kimlik doğrulama mekanizmasına uygulaması yapılmıştır.SRP protokolü kullanılarak, şifre iletişimde hiç kullanılmadan, ön tanımlı matematiksel bağıntılardan yararlanılarak kimlik doğrulama işlemi gerçekleştirilmektedir. Şifrenin düz metin veya kıyım karşılığının iletişimde kullanılmaması sistem güvenliğini önemli derecede artırmaktadır. SIP, yapı itibari ile basit ve esnek bir protokoldür. Protokol üzerinde yapılacak değişiklikler, eklemeler, iyileştirmeler bu basitliği ve esnekliği bozmamalı ve performans kaybına neden olmamalıdır. Güvenlik iyileştirmeleri ile ilgili çalışırken bu konu göz ardı edilmemelidir. Bu çalışmada kullanılan SRP protokolünün çalışma yapısı ile SIP kimlik doğrulama arasındaki paralellik bu konuda bir kolaylık sağlamıştır. Protokolde yapılan küçük değişikliklerle bu iyileştirme gerçekleştirilmiştir.Anahtar Kelimeler: SIP güvenliği, voip, güvenlik, kimlik doğrulama, secure remote password