SRP: Protokol Kata Sandi Jarak Jauh yang Aman

Protokol Kata Sandi Jarak Jauh Aman (SRP) dikembangkan oleh Tom Wu di Stanford dan diterbitkan sebagai RFC 2945 pada 2000, dengan versi yang disempurnakan, SRP-6a, yang ditetapkan kemudian. SRP memungkinkan autentikasi timbal balik berdasarkan kata sandi bersama tanpa pernah mengirimkan kata sandi itu sendiri, bahkan dalam bentuk terenkripsi.

Selama pendaftaran SRP, klien menghitung nilai verifikasi kata sandi v = g^x mod N, dengan x = H(salt || password) dan N adalah bilangan prima aman yang besar. Server hanya menyimpan garam dan nilai verifikasi v. Bahkan jika basis data server disusupi, nilai verifikasi yang tersimpan tidak secara langsung mengungkapkan kata sandi.

Selama masuk SRP, klien dan server sama-sama melakukan pertukaran mirip Diffie-Hellman yang menghasilkan kunci sesi bersama. Perhitungan di setiap sisi menyertakan nilai yang diturunkan dari kata sandi, sehingga kunci sesi yang dihasilkan hanya dapat dihitung dengan benar oleh pihak yang masing-masing mengetahui kata sandi dan nilai verifikasi.

SRP menyediakan autentikasi timbal balik: klien membuktikan bahwa ia mengetahui kata sandi, dan server membuktikan bahwa server tersebut memiliki nilai verifikasi yang sah. Ini mencegah serangan phishing ketika server palsu mungkin mencoba mengumpulkan informasi kata sandi, karena server palsu tidak dapat menyelesaikan pertukaran SRP dengan benar tanpa nilai verifikasi yang sebenarnya.

Nilai verifikasi dihitung sebagai v = g^x mod N dengan x = H(salt || password), g adalah generator, dan N adalah bilangan prima aman berukuran 2048 bit atau lebih besar. Masalah logaritma diskret membuat pemulihan x dari v secara komputasional tidak layak. Kata sandi hanya dapat diverifikasi dengan berhasil menyelesaikan seluruh pertukaran SRP.

SRP-6a mengatasi kelemahan dalam rancangan SRP-3 dan SRP-6 asli dengan memperkenalkan parameter pengali k = H(N, g) dan mengubah urutan perhitungan klien dan server. Perubahan ini mencegah serangan penebakan dua-untuk-satu tertentu dan memastikan kontribusi server terikat sejak awal dalam protokol.

SRP telah digunakan secara luas dalam sistem nyata. Apple menggunakan SRP dalam sinkronisasi Rantai Kunci iCloud agar perangkat dapat mengambil data rantai kunci tanpa mengungkapkan kata sandi akun kepada server milik Apple. 1Password telah menggunakan SRP dalam model autentikasinya untuk mencegah paparan kredensial di sisi server.

Karena SRP menghasilkan kunci sesi yang mengikat kata sandi dan nilai verifikasi server, server phishing tidak dapat menyelesaikan jabat tangan SRP dengan benar. Pengguna yang terhubung ke situs phishing melalui SRP akan gagal diautentikasi, sehingga menyediakan sifat antiphishing bawaan yang tidak ada pada pengiriman kata sandi tradisional.

SRP mahal secara komputasi, memerlukan perpangkatan modular dengan bilangan bulat besar (2048 bit+). SRP rumit untuk diterapkan dengan benar, dengan banyak jebakan halus dalam validasi parameter yang telah menyebabkan kerentanan implementasi. Protokol ini juga memerlukan saluran aman (TLS) untuk mencegah penyadapan pasif terhadap pertukaran itu sendiri.

RFC 5054 mendefinisikan rangkaian sandi TLS-SRP yang mengintegrasikan autentikasi timbal balik SRP langsung ke dalam jabat tangan TLS. Ini menghilangkan kebutuhan akan sertifikat server sekaligus tetap menyediakan autentikasi timbal balik terenkripsi. Namun, TLS-SRP hanya diadopsi secara terbatas dalam praktik karena FIDO2 dan OPAQUE telah muncul sebagai alternatif yang lebih modern.

Meskipun SRP merupakan terobosan, alternatif modern seperti OPAQUE menyediakan jaminan keamanan yang lebih kuat (ketahanan terhadap prakomputasi), dan FIDO2/kunci sandi menghapus kata sandi sepenuhnya. Untuk sistem baru, OPAQUE atau FIDO2 lebih disukai, tetapi SRP tetap merupakan pilihan yang valid untuk sistem yang memerlukan autentikasi timbal balik berbasis kata sandi tanpa kerentanan terhadap phishing.

Dalam SRP, apa yang disimpan server sebagai pengganti kata sandi pengguna?

SRP menyimpan nilai verifikasi kata sandi (bukan kata sandinya), menghasilkan kunci sesi bersama melalui pertukaran mirip DH, dan menyediakan autentikasi timbal balik yang tahan terhadap phishing. SRP-6a meningkatkan versi aslinya dengan ketahanan terhadap serangan penebakan. Rantai Kunci iCloud milik Apple dan 1Password menggunakan SRP dalam produksi. OPAQUE dan FIDO2 merupakan penerus modern untuk sistem baru.