Nøgleafledningsfunktioner: PBKDF2, bcrypt og Argon2

Lagring af adgangskoder kræver en særlig klasse kryptografisk funktion, der kaldes en funktion til hashing af adgangskoder (PHF) eller en nøgleafledningsfunktion (KDF). Almindelige kryptografiske hashfunktioner som SHA-256 er designet til at være hurtige — en moderne GPU kan beregne milliarder af SHA-256-hashværdier i sekundet. Denne hastighed er katastrofal ved lagring af adgangskoder: En angriber, der stjæler en hashedatabase, kan afprøve milliarder af gæt i sekundet. Adgangskode-KDF'er er med vilje langsomme og kan indstilles, så brute-force-angreb bliver beregningsmæssigt urealistiske, samtidig med at legitim login stadig kan gennemføres på millisekunder.

Før der fandtes dedikerede KDF'er til adgangskoder, brugte angribere regnbuetabeller — forudberegnede tilknytninger fra hashværdier tilbage til klartekstadgangskoder. Et salt er en tilfældig værdi, der er unik for hver bruger, og som sættes foran eller efter adgangskoden før hashing. Det gør hver hashværdi unik, selv når adgangskoderne er identiske. Salte gemmes sammen med hashværdien i databasen — de er ikke hemmelige, kun tilfældige. Et korrekt salt skal være på mindst 16 byte, genereres af en kryptografisk sikker tilfældighedsgenerator og gemmes separat for hver bruger (aldrig genbrugt på tværs af konti).

PBKDF2 (Password-Based Key Derivation Function 2) er defineret i RFC 8018 og godkendt af NIST. Den fungerer ved gentagne gange at anvende en HMAC-funktion (typisk HMAC-SHA-256) på adgangskoden og saltet et konfigurerbart antal iterationer. Antallet af iterationer er arbejdsfaktoren — NIST anbefaler mindst 600.000 iterationer af PBKDF2-HMAC-SHA256 fra og med 2023. PBKDF2 bruges i vid udstrækning (Django, iOS Keychain, WPA2-PSK), men har en svaghed: Den kan implementeres effektivt på GPU'er, hvilket gør den mindre modstandsdygtig over for GPU-angreb end alternativerne.

bcrypt blev designet af Niels Provos og David Mazieres i 1999 og er stadig udbredt. Den vigtigste nyskabelse er en omkostningsfaktor (parameteren rounds), hvor hver forøgelse fordobler beregningstiden. bcrypt bruger et modificeret Blowfish-chiffer med en Eksblowfish-nøgleopsætning, der kræver meget både CPU- og hukommelse, hvilket gør det betydeligt sværere at accelerere på GPU'er end PBKDF2. bcrypt begrænser også adgangskodeinput til 72 byte (længere adgangskoder afkortes), så lange adgangskoder i nogle implementeringer først skal hashes med SHA-256.

Argon2 vandt konkurrencen om hashing af adgangskoder i 2015 og er den aktuelle anbefaling fra OWASP. Den findes i tre varianter: Argon2d (hurtigere, sårbar over for sidekanaler, bedst til kryptovaluta), Argon2i (konstant køretid, bedst til hashing af adgangskoder) og Argon2id (hybrid, anbefalet til de fleste anvendelser). Argon2id kan konfigureres langs tre dimensioner: tidsomkostning (iterationer), hukommelsesomkostning (krævet RAM) og parallelitet (tråde). De høje krav til hukommelse gør det ekstremt vanskeligt at parallelisere på GPU'er og fuldstændig urealistisk på ASIC'er.

GPU'er har tusindvis af kerner, men begrænset hukommelse pr. kerne — de er fremragende til at parallelisere simple beregninger, der kræver lidt hukommelse. Hukommelseskrævende funktioner som Argon2 og scrypt kræver store mængder RAM for hver hashberegning. Hvis en angriber vil køre 10.000 parallelle Argon2id-beregninger, der hver kræver 64 MB hukommelse, skal vedkommende bruge 640 GB GPU-RAM — langt mere end nogen tilgængelig GPU-klynge har. Denne egenskab, der kaldes hukommelseskrav, tvinger angribere til enten at bruge langsomme, sekventielle beregninger eller investere i ekstraordinært dyr hardware, som gør angreb økonomisk urentable.

Den rette arbejdsfaktor afhænger af din hardware og den acceptable latenstid. Det generelle mål er 100-300 ms på serverens produktionshardware for hver godkendelse. Efterhånden som hardwaren bliver bedre, bør du øge arbejdsfaktoren — derfor gemmer bcrypt og Argon2 parametrene sammen med hashværdien, hvilket muliggør gennemsigtige opgraderinger: Ved næste login verificeres adgangskoden, hvorefter den hashes igen med de nye, højere parametre. OWASP vedligeholder aktuelle anbefalede minimumsparametre for PBKDF2, bcrypt og Argon2id, som bør gennemgås årligt.

scrypt, der blev designet af Colin Percival i 2009, var den første bredt anvendte hukommelseskrævende KDF og bruges af Litecoin og mange adgangskodeadministratorer. scrypt parametriseres med N (CPU-/hukommelsesomkostning), r (blokstørrelse) og p (paralleliseringsfaktor). Ligesom Argon2 kræver høje N-værdier store mængder RAM pr. beregning. scrypt betragtes som sikker, men Argon2id foretrækkes generelt til nye applikationer, fordi den vandt PHC og har gennemgået mere kryptografisk analyse. Begge er acceptable valg.

Flere metoder til hashing må aldrig bruges til adgangskoder: MD5 (brudt, milliarder af hashværdier i sekundet på almindelig forbrugerhardware), SHA-1 (samme problem), SHA-256 uden salt (hurtig, regnbuetabeller gør angreb trivielle) og simpel kryptering (reversibel, så tyveri af nøglen svarer til tyveri af alle adgangskoder). Historiske databrud som LinkedIn (2012) brugte SHA-1 uden salt, hvilket afslørede 117 millioner adgangskoder, der blev knækket på få dage. Adobe (2013) krypterede adgangskoder (i stedet for at hashe dem) — en grundlæggende misforståelse, der afslørede 153 millioner konti. Disse hændelser indgår i Security+-eksamens pensum.

KDF'er bruges også til at udlede krypteringsnøgler fra adgangskoder (i modsætning til lagring af hashværdier for adgangskoder). Når en bruger angiver en hovedadgangskode til et krypteret digitalt pengeskab, bruger applikationen en KDF til at udlede den faktiske AES-256-krypteringsnøgle fra adgangskoden. Derfor kan adgangskodeadministratorer dekryptere dit pengeskab lokalt — de kører KDF'en på din hovedadgangskode for at genskabe krypteringsnøglen, som aldrig forlader din enhed. HKDF (HMAC-based Key Derivation Function) er standarden til at udlede flere nøgler fra én enkelt entropirig hemmelighed og bruges i TLS 1.3 til at udlede håndtryks- og applikationsnøgler.

Credential stuffing-angreb genbruger brugernavn/adgangskode-par, der er stjålet ved ét databrud, mod andre tjenester. Stærke KDF'er reducerer tidsvinduet for offline-cracking efter et databrud — hvis angriberen skal bruge 300 ms pr. gæt i stedet for mikrosekunder, bliver det beregningsmæssigt umuligt at knække en tilfældig adgangskode på 10 tegn. KDF'er beskytter dog ikke mod genbrug af adgangskoder på tværs af websteder — det kræver, at brugerne anvender unikke adgangskoder. Kombinationen af unikke adgangskoder + Argon2id-lagring + MFA gør legitimationsbaserede angreb praktisk talt ineffektive.

I denne lektion lærte du, at adgangskode-KDF'er er langsomme med vilje og har justerbare arbejdsfaktorer, så offline brute force-angreb bliver beregningsmæssigt umulige, at hukommelseskrævende funktioner som Argon2id og scrypt modvirker GPU-parallellisering ved at kræve meget RAM pr. beregning, og at MD5, SHA-1 og usaltede hashes er helt utilstrækkelige til lagring af adgangskoder, hvilket flere opsigtsvækkende databrud har vist. Dernæst ser vi på postkvantekryptografi og de algoritmer, som NIST har valgt til at erstatte RSA og ECC.