SRP: turvallinen etäsalasanaprotokolla

Secure Remote Password (SRP) -protokollan kehitti Tom Wu Stanfordissa, ja se julkaistiin RFC 2945 -määrityksenä vuonna 2000. Myöhemmin määriteltiin parannettu versio SRP-6a. SRP mahdollistaa jaettuun salasanaan perustuvan molemminpuolisen autentikoinnin ilman, että itse salasanaa koskaan siirretään, edes salatussa muodossa.

SRP-rekisteröinnin aikana asiakas laskee salasanan verifioijan v = g^x mod N, missä x = H(salt || password) ja N on suuri safe prime. Palvelin tallentaa vain suolan ja verifioijan v. Vaikka palvelimen tietokanta vaarantuisi, tallennettu verifioija ei paljasta salasanaa suoraan.

SRP-kirjautumisen aikana asiakas ja palvelin suorittavat Diffie–Hellmanin kaltaisen vaihdon, joka tuottaa jaetun istuntoavaimen. Kummankin osapuolen laskennassa hyödynnetään salasanasta johdettua arvoa, joten tuloksena syntyvän istuntoavaimen voivat laskea oikein vain salasanan tunteva osapuoli ja verifioijan tunteva osapuoli.

SRP tarjoaa molemminpuolisen autentikoinnin: asiakas todistaa tietävänsä salasanan ja palvelin todistaa hallitsevansa oikeaa verifioijaa. Tämä estää phishing-hyökkäykset, joissa väärennetty palvelin yrittäisi kerätä salasanatietoja, koska väärennetty palvelin ei voi suorittaa SRP-vaihtoa loppuun oikein ilman aitoa verifioijaa.

Verifioija lasketaan muodossa v = g^x mod N, missä x = H(salt || password), g on generaattori ja N vähintään 2048-bittinen safe prime. Diskreetin logaritmin ongelman vuoksi x:n johtaminen v:stä on käytännössä mahdotonta. Salasanan voi todentaa vain suorittamalla koko SRP-vaihdon onnistuneesti.

SRP-6a korjaa alkuperäisten SRP-3- ja SRP-6-mallien heikkouksia ottamalla käyttöön kertoimen k = H(N, g) ja muuttamalla asiakkaan ja palvelimen laskentajärjestystä. Nämä muutokset estävät tietyt two-for-one-arvaushyökkäykset ja varmistavat, että palvelimen panos sidotaan protokollaan varhaisessa vaiheessa.

SRP:tä on otettu merkittävästi käyttöön todellisissa järjestelmissä. Apple käyttää SRP:tä iCloud Keychain -synkronointiin, jotta laitteet voivat noutaa avainnipputietoja paljastamatta tilin salasanaa Applen palvelimille. 1Password on käyttänyt SRP:tä autentikointimallissaan estääkseen tunnistetietojen paljastumisen palvelimella.

Koska SRP tuottaa istuntoavaimen, joka sitoo yhteen sekä salasanan että palvelimen verifioijan, phishing-palvelin ei voi suorittaa SRP-kättelyä loppuun oikein. Käyttäjän yhteys phishing-sivustoon SRP:n kautta johtaa autentikoinnin epäonnistumiseen, mikä tarjoaa sisäänrakennetun phishingin estävän ominaisuuden, jota perinteisessä salasanan lähettämisessä ei ole.

SRP on laskennallisesti raskas, sillä se edellyttää modulaarista eksponentointia suurilla, vähintään 2048-bittisillä kokonaisluvuilla. Sen toteuttaminen oikein on monimutkaista, ja parametrien validointiin liittyy monia hienovaraisia sudenkuoppia, jotka ovat johtaneet toteutusten haavoittuvuuksiin. Protokolla edellyttää myös suojattua kanavaa (TLS), jotta itse vaihdon passiivinen salakuuntelu voidaan estää.

RFC 5054 määrittelee TLS-SRP-salauspaketit, jotka yhdistävät SRP:n molemminpuolisen autentikoinnin suoraan TLS-kättelyyn. Näin palvelinsertifikaatteja ei tarvita, mutta salattu molemminpuolinen autentikointi säilyy. TLS-SRP:n käyttöönotto on kuitenkin käytännössä ollut vähäistä, koska FIDO2 ja OPAQUE ovat nousseet nykyaikaisemmiksi vaihtoehdoiksi.

Vaikka SRP oli uraauurtava, OPAQUEn kaltaiset modernit vaihtoehdot tarjoavat vahvempia turvallisuustakuita, kuten suojan esilaskentahyökkäyksiä vastaan, ja FIDO2/passkeys poistavat salasanat kokonaan. Uusissa järjestelmissä suositellaan OPAQUEa tai FIDO2:ta, mutta SRP on edelleen kelvollinen valinta järjestelmiin, jotka edellyttävät salasanapohjaista molemminpuolista autentikointia ilman phishing-alttiutta.

SRP tallentaa salasanan sijaan salasanaverifioijan, muodostaa jaetun istuntoavaimen DH:n kaltaisella vaihdolla ja tarjoaa phishingiä kestävän molemminpuolisen autentikoinnin. SRP-6a parantaa alkuperäistä mallia tarjoamalla suojan arvaushyökkäyksiä vastaan. Applen iCloud Keychain ja 1Password käyttävät SRP:tä tuotannossa. OPAQUE ja FIDO2 ovat uusien järjestelmien moderneja seuraajia.