PAKE-Protokolle und ihre Eigenschaften

Password Authenticated Key Exchange (PAKE) bezeichnet eine Familie von Protokollen, die es zwei Parteien ermöglichen, die nur ein Passwort mit geringer Entropie gemeinsam haben, einen Sitzungsschlüssel mit hoher Entropie und gegenseitiger Authentifizierung zu etablieren. Anders als die herkömmliche Passwortauthentifizierung bietet PAKE Forward Secrecy und Schutz vor Offline-Wörterbuchangriffen, ohne das Passwort zu übertragen.

Balanced PAKE (B-PAKE) behandelt beide Parteien symmetrisch: Client und Server besitzen dasselbe Geheimnis (das Passwort oder eine symmetrische Transformation davon). Augmented PAKE (A-PAKE) ist asymmetrisch: Der Server besitzt nur einen aus dem Passwort abgeleiteten öffentlichen Verifier, sodass eine Kompromittierung des Servers keine katastrophalen Folgen für die Sicherheit des Clients hat.

Simple Password Exponential Key Exchange (SPEKE) ist ein Balanced PAKE, bei dem beide Parteien das Passwort verwenden, um einen Gruppengenerator g = H(password) zu definieren. Der anschließende Austausch ist ein Diffie-Hellman-Schlüsselaustausch mit diesem aus dem Passwort abgeleiteten Generator. Dadurch können ihn nur Parteien abschließen, die das Passwort kennen.

Password Authenticated Key Exchange by Juggling (J-PAKE), RFC 8236, verwendet Zero-Knowledge-Proofs, damit zwei Parteien aus einem gemeinsamen Passwort einen Sitzungsschlüssel erzeugen können. J-PAKE wird in Thread (einem IoT-Netzwerkprotokoll) verwendet und wurde in OpenSSL implementiert. Das Protokoll ist patentfrei und bietet die Eigenschaften eines Balanced PAKE.

OPAQUE (ein IETF-Entwurf, draft-irtf-cfrg-opaque) ist ein Augmented PAKE mit starken Sicherheitseigenschaften. Bei der Registrierung verwendet der Client eine Oblivious PRF (OPRF), um aus dem Passwort einen Schlüssel abzuleiten, ohne dass der Server das Passwort erfährt. Der Server speichert ein verschlüsseltes Envelope, das den privaten Schlüssel des Clients enthält.

Während der OPAQUE-Anmeldung führen Client und Server ein OPRF-Protokoll aus, um den Schlüssel des Clients zu rekonstruieren, ohne dass der Server das Passwort erfährt. Anschließend verwendet der Client diesen Schlüssel, um das Envelope zu entschlüsseln und Zugangsdaten für den Abschluss eines Schlüsselaustauschs abzurufen. Der Server sieht das Passwort in keiner Phase.

OPAQUE bietet Schutz vor Vorberechnung: Selbst wenn ein Angreifer den Server kompromittiert und alle gespeicherten Daten erlangt, kann er keinen Offline-Wörterbuchangriff auf die gespeicherten Werte durchführen, ohne für jeden Rateversuch eine neue OPRF-Interaktion zu simulieren. Dies ist eine stärkere Garantie als bei SRP.

SPAKE2 (RFC 9382) ist ein einfaches Balanced PAKE auf Grundlage von Diffie-Hellman mit durch das Passwort verschleierten öffentlichen Schlüsseln. SPAKE2+ ist die Augmented-Variante, bei der der Server getrennte Werte für die Client- und Serverrolle speichert. Apple verwendet SPAKE2+ in HomeKit zum Koppeln von Geräten; außerdem wird es in mehreren Protokollen zur Inbetriebnahme von IoT-Geräten eingesetzt.

CPace (RFC-9380-Komponente) ist ein von Haase und Labrique entwickeltes, komponierbares PAKE und wurde als Balanced-PAKE-Standard der IETF übernommen. CPace ist dafür ausgelegt, mit nachfolgenden Schritten zur Schlüsselbestätigung kombiniert zu werden, und wird für neue Protokolle empfohlen, die ein Balanced PAKE benötigen. Es ist das vom CFRG ausgewählte B-PAKE neben OPAQUE als A-PAKE.

Alle PAKEs bieten Authentifizierung und Schlüsselaustausch. A-PAKEs bieten zusätzlich Schutz bei einer Kompromittierung des Servers. OPAQUE bietet über den Schutz bei einer Serverkompromittierung hinaus auch Schutz vor Vorberechnung. FIDO2 bietet eine Bindung an den Ursprung, die Phishing verhindert. Die Wahl hängt davon ab, ob eine passwortbasierte Authentifizierung erforderlich ist oder durch Public-Key-Zugangsdaten ersetzt werden kann.

PAKE-Protokolle sind schwieriger korrekt zu implementieren als einfaches Passwort-Hashing und sollten aus auditierten Bibliotheken stammen. Die IETF-CFRG hat CPace (B-PAKE) und OPAQUE (A-PAKE) als empfohlene Optionen für neue Protokolle standardisiert. SRP wird weiterhin in bestehenden Bereitstellungen eingesetzt, aber für neue Designs wird OPAQUE bevorzugt.

PAKE-Protokolle ermöglichen eine passwortbasierte gegenseitige Authentifizierung mit Schlüsselaustausch. B-PAKEs (CPace, SPAKE2, J-PAKE) sind symmetrisch. A-PAKEs (SRP, OPAQUE, SPAKE2+) speichern nur serverseitige Verifier. OPAQUE bietet die stärksten Garantien, einschließlich des Schutzes vor Vorberechnung. Die IETF hat CPace und OPAQUE als empfohlene moderne Optionen standardisiert.