بروتوكولات PAKE وخصائصها

تتيح عائلة Password Authenticated Key Exchange (PAKE) من البروتوكولات لطرفين يتشاركان كلمة مرور منخفضة الإنتروبيا فقط إنشاء مفتاح جلسة عالي الإنتروبيا مع مصادقة متبادلة. وبخلاف مصادقة كلمات المرور التقليدية، يوفر PAKE السرية الأمامية ومقاومة هجمات القاموس غير المتصلة دون نقل كلمة المرور.

يتعامل PAKE المتوازن (B-PAKE) مع الطرفين بصورة متناظرة: إذ يحتفظ العميل والخادم بالسر نفسه (كلمة المرور أو تحويل متماثل لها). أما PAKE المعزَّز (A-PAKE) فهو غير متناظر: إذ يحتفظ الخادم بقيمة تحقق عامة مشتقة من كلمة المرور فقط، مما يجعل اختراق الخادم غير كارثي بالنسبة إلى أمان العميل.

يُعد Simple Password Exponential Key Exchange (SPEKE) بروتوكول PAKE متوازنًا، يستخدم فيه الطرفان كلمة المرور لتعريف مولّد المجموعة g = H(password). ويكون التبادل اللاحق تبادل مفاتيح Diffie-Hellman باستخدام هذا المولّد المشتق من كلمة المرور، مما يضمن عدم قدرة الأطراف التي لا تعرف كلمة المرور على إكماله.

يستخدم Password Authenticated Key Exchange by Juggling (J-PAKE)، الوارد في RFC 8236، براهين المعرفة الصفرية لتمكين طرفين من إنشاء مفتاح جلسة انطلاقًا من كلمة مرور مشتركة. ويُستخدم J-PAKE في Thread (بروتوكول شبكة إنترنت الأشياء)، كما طُبّق في OpenSSL. وهو خالٍ من براءات الاختراع ويوفر خصائص PAKE المتوازن.

يُعد OPAQUE (مسودة IETF، draft-irtf-cfrg-opaque) بروتوكول PAKE معزَّزًا ذا خصائص أمنية قوية. وأثناء التسجيل، يستخدم العميل دالة PRF غافلة (OPRF) لاشتقاق مفتاح من كلمة المرور دون أن يتعرف الخادم على كلمة المرور. ويخزن الخادم حاوية مشفّرة تحتوي على المفتاح الخاص بالعميل.

أثناء تسجيل الدخول عبر OPAQUE، ينفذ العميل والخادم بروتوكول OPRF لإعادة إنشاء مفتاح العميل دون أن يتعرف الخادم على كلمة المرور. ثم يستخدم العميل هذا المفتاح لفك تشفير الحاوية واسترداد بيانات الاعتماد اللازمة لإكمال تبادل المفاتيح. ولا يطّلع الخادم على كلمة المرور في أي مرحلة.

يوفر OPAQUE مقاومةً للحساب المسبق: فحتى إذا اخترق المهاجم الخادم وحصل على جميع البيانات المخزنة، لا يمكنه تنفيذ هجوم قاموس غير متصل على القيم المخزنة دون محاكاة تفاعل OPRF جديد لكل تخمين. ويمثل ذلك ضمانًا أقوى مما يوفره SRP.

يُعد SPAKE2 (RFC 9382) بروتوكول PAKE متوازنًا وبسيطًا، يستند إلى Diffie-Hellman مع مفاتيح عامة محجوبة بكلمة المرور. أما SPAKE2+ فهو الإصدار المعزَّز، حيث يخزن الخادم قيمًا منفصلة لدوري العميل والخادم. وتستخدم Apple بروتوكول SPAKE2+ في HomeKit لإقران الأجهزة، كما يُستخدم في عدة بروتوكولات لتهيئة أجهزة إنترنت الأشياء.

يُعد CPace (مكوّن RFC 9380) بروتوكول PAKE قابلًا للتركيب، صممه Haase وLabrique، واعتمدته IETF باعتباره بروتوكول PAKE المتوازن القياسي. وقد صُمم CPace ليُركّب مع خطوات لاحقة لتأكيد المفاتيح، ويُوصى باستخدامه في البروتوكولات الجديدة التي تحتاج إلى PAKE متوازن. وهو بروتوكول B-PAKE الذي اختارته CFRG إلى جانب OPAQUE باعتباره A-PAKE.

توفر جميع بروتوكولات PAKE المصادقة وإنشاء المفاتيح. كما توفر بروتوكولات A-PAKE مقاومةً لاختراق الخادم. ويوفر OPAQUE مقاومةً للحساب المسبق تتجاوز مقاومة اختراق الخادم. أما FIDO2 فيوفر ربطًا بالأصل يمنع التصيد الاحتيالي. ويعتمد الاختيار على ما إذا كانت المصادقة القائمة على كلمة المرور مطلوبة أو كان من الممكن استبدالها ببيانات اعتماد قائمة على المفتاح العام.

تكون بروتوكولات PAKE أكثر تعقيدًا في التنفيذ الصحيح من تجزئة كلمات المرور البسيطة، ولذلك ينبغي الحصول عليها من مكتبات خضعت للتدقيق. وقد عيّرت IETF CFRG بروتوكولَي CPace (B-PAKE) وOPAQUE (A-PAKE) باعتبارهما الخيارين الموصى بهما للبروتوكولات الجديدة. ولا يزال SRP مستخدمًا في عمليات النشر القائمة، لكن OPAQUE هو الخيار المفضل للتصاميم الجديدة.

ما خاصية PAKE التي تميز PAKE المعزَّز (A-PAKE) عن PAKE المتوازن (B-PAKE)؟

تتيح بروتوكولات PAKE المصادقة المتبادلة القائمة على كلمة المرور مع إنشاء المفاتيح. وتكون بروتوكولات B-PAKE (CPace وSPAKE2 وJ-PAKE) متناظرة. أما بروتوكولات A-PAKE (SRP وOPAQUE وSPAKE2+) فلا تخزن سوى قيم تحقق على جانب الخادم. ويوفر OPAQUE أقوى الضمانات، بما في ذلك مقاومة الحساب المسبق. وقد عيّرت IETF بروتوكولَي CPace وOPAQUE باعتبارهما الخيارين الحديثين الموصى بهما.