Protokol PAKE dan Sifat-sifatnya

Pertukaran Kunci Terautentikasi Kata Sandi (PAKE) adalah keluarga protokol yang memungkinkan dua pihak yang hanya berbagi kata sandi dengan entropi rendah untuk membentuk kunci sesi dengan entropi tinggi dan autentikasi timbal balik. Tidak seperti autentikasi kata sandi tradisional, PAKE menyediakan kerahasiaan maju dan ketahanan terhadap serangan kamus luring tanpa mengirimkan kata sandi.

PAKE Berimbang (B-PAKE) memperlakukan kedua pihak secara simetris: klien dan server sama-sama memegang rahasia yang sama (kata sandi atau transformasi simetrisnya). PAKE Teraugmentasi (A-PAKE) bersifat asimetris: server hanya memegang nilai verifikasi publik yang diturunkan dari kata sandi, sehingga penyusupan server tidak bersifat fatal bagi keamanan klien.

Pertukaran Kunci Eksponensial Kata Sandi Sederhana (SPEKE) adalah PAKE berimbang yang menggunakan kata sandi untuk menentukan generator grup g = H(password) pada kedua pihak. Pertukaran berikutnya merupakan pertukaran kunci Diffie-Hellman yang menggunakan generator turunan kata sandi ini, sehingga hanya pihak yang mengetahui kata sandi yang dapat menyelesaikannya.

Pertukaran Kunci Terautentikasi Kata Sandi dengan Pengocokan (J-PAKE), RFC 8236, menggunakan bukti tanpa pengetahuan agar dua pihak dapat membentuk kunci sesi dari kata sandi bersama. J-PAKE digunakan dalam Thread (protokol jaringan IoT) dan diimplementasikan dalam OpenSSL. Protokol ini bebas paten dan menyediakan properti PAKE berimbang.

OPAQUE (draf IETF, draft-irtf-cfrg-opaque) adalah PAKE teraugmentasi dengan properti keamanan yang kuat. Saat pendaftaran, klien menggunakan OPRF (PRF yang menyembunyikan masukan) untuk menurunkan kunci dari kata sandi tanpa server mengetahui kata sandi tersebut. Server menyimpan wadah terenkripsi yang berisi kunci privat klien.

Selama fase masuk OPAQUE, klien dan server menjalankan protokol OPRF untuk merekonstruksi kunci klien tanpa server mengetahui kata sandi. Klien kemudian menggunakan kunci ini untuk mendekripsi wadah dan mengambil kredensial guna menyelesaikan pertukaran kunci. Server tidak pernah melihat kata sandi pada fase apa pun.

OPAQUE menyediakan ketahanan terhadap prakomputasi: bahkan jika penyerang menyusupi server dan memperoleh semua data yang tersimpan, mereka tidak dapat melakukan serangan kamus luring terhadap nilai yang tersimpan tanpa menyimulasikan interaksi OPRF baru untuk setiap tebakan. Ini merupakan jaminan yang lebih kuat daripada yang diberikan SRP.

SPAKE2 (RFC 9382) adalah PAKE berimbang sederhana berdasarkan Diffie-Hellman dengan kunci publik yang disamarkan oleh kata sandi. SPAKE2+ adalah varian teraugmentasi yang membuat server menyimpan nilai terpisah untuk peran klien dan server. Apple menggunakan SPAKE2+ dalam HomeKit untuk memasangkan perangkat, dan protokol ini digunakan dalam beberapa protokol penyiapan perangkat IoT.

CPace (komponen RFC 9380) adalah PAKE yang dapat disusun, dirancang oleh Haase dan Labrique, dan diadopsi sebagai PAKE berimbang standar IETF. CPace dirancang untuk dikomposisikan dengan langkah konfirmasi kunci berikutnya dan direkomendasikan untuk digunakan dalam protokol baru yang memerlukan PAKE berimbang. CPace adalah B-PAKE pilihan CFRG bersama OPAQUE sebagai A-PAKE.

Semua PAKE menyediakan autentikasi dan pembentukan kunci. A-PAKE juga menyediakan ketahanan terhadap penyusupan server. OPAQUE menyediakan ketahanan terhadap prakomputasi yang melampaui ketahanan terhadap penyusupan server. FIDO2 menyediakan pengikatan asal yang mencegah phishing. Pilihannya bergantung pada apakah autentikasi berbasis kata sandi diperlukan atau dapat digantikan dengan kredensial kunci publik.

Protokol PAKE lebih rumit untuk diterapkan dengan benar daripada pencincangan kata sandi sederhana dan sebaiknya menggunakan pustaka yang telah diaudit. IETF CFRG telah menstandardisasi CPace (B-PAKE) dan OPAQUE (A-PAKE) sebagai pilihan yang direkomendasikan untuk protokol baru. SRP masih digunakan dalam penerapan yang sudah ada, tetapi OPAQUE lebih disukai untuk rancangan baru.

Protokol PAKE memungkinkan autentikasi timbal balik berbasis kata sandi dengan pembentukan kunci. B-PAKE (CPace, SPAKE2, J-PAKE) bersifat simetris. A-PAKE (SRP, OPAQUE, SPAKE2+) hanya menyimpan nilai verifikasi di sisi server. OPAQUE menyediakan jaminan terkuat, termasuk ketahanan terhadap prakomputasi. IETF telah menstandardisasi CPace dan OPAQUE sebagai pilihan modern yang direkomendasikan.