Protocolli PAKE e loro proprietà

Password Authenticated Key Exchange (PAKE) è una famiglia di protocolli che consente a due parti, che condividono solo una password a bassa entropia, di stabilire una chiave di sessione ad alta entropia con autenticazione reciproca. A differenza dell'autenticazione tradizionale con password, PAKE fornisce forward secrecy e resistenza agli attacchi a dizionario offline senza trasmettere la password.

Il PAKE bilanciato (B-PAKE) tratta le due parti simmetricamente: sia il client sia il server possiedono lo stesso segreto (la password o una sua trasformazione simmetrica). Il PAKE aumentato (A-PAKE) è asimmetrico: il server possiede solo un verificatore pubblico derivato dalla password, rendendo la compromissione del server non catastrofica per la sicurezza del client.

Simple Password Exponential Key Exchange (SPEKE) è un PAKE bilanciato in cui entrambe le parti utilizzano la password per definire un generatore di gruppo g = H(password). Lo scambio successivo è uno scambio di chiavi Diffie-Hellman che utilizza questo generatore derivato dalla password, garantendo che solo le parti che conoscono la password possano completarlo.

Password Authenticated Key Exchange by Juggling (J-PAKE), RFC 8236, utilizza prove a conoscenza zero per consentire a due parti di stabilire una chiave di sessione a partire da una password condivisa. J-PAKE è utilizzato in Thread (un protocollo di rete IoT) ed è stato implementato in OpenSSL. Non è soggetto a brevetti e fornisce le proprietà di un PAKE bilanciato.

OPAQUE (una bozza IETF, draft-irtf-cfrg-opaque) è un PAKE aumentato con solide proprietà di sicurezza. Durante la registrazione, il client utilizza un oblivious PRF (OPRF) per derivare una chiave dalla password senza che il server venga a conoscenza della password. Il server memorizza un contenitore cifrato che contiene la chiave privata del client.

Durante l'accesso OPAQUE, client e server eseguono un protocollo OPRF per ricostruire la chiave del client senza che il server venga a conoscenza della password. Il client utilizza quindi questa chiave per decifrare il contenitore e recuperare le credenziali necessarie a completare uno scambio di chiavi. Il server non vede mai la password in nessuna fase.

OPAQUE offre resistenza alla precomputazione: anche se un attaccante compromette il server e ottiene tutti i dati memorizzati, non può eseguire un attacco a dizionario offline sui valori memorizzati senza simulare una nuova interazione OPRF per ogni tentativo. Si tratta di una garanzia più forte di quella offerta da SRP.

SPAKE2 (RFC 9382) è un PAKE bilanciato semplice, basato su Diffie-Hellman con chiavi pubbliche rese cieche dalla password. SPAKE2+ è la variante aumentata, nella quale il server memorizza valori distinti per i ruoli del client e del server. Apple utilizza SPAKE2+ in HomeKit per associare i dispositivi, e il protocollo è impiegato in diversi protocolli di provisioning dei dispositivi IoT.

CPace (componente RFC 9380) è un PAKE componibile progettato da Haase e Labrique e adottato come PAKE bilanciato standard dell'IETF. CPace è progettato per essere composto con successive fasi di conferma della chiave ed è raccomandato per i nuovi protocolli che richiedono un PAKE bilanciato. È il B-PAKE selezionato dal CFRG, insieme a OPAQUE come A-PAKE.

Tutti i PAKE forniscono autenticazione e instaurazione delle chiavi. Gli A-PAKE forniscono inoltre resistenza alla compromissione del server. OPAQUE offre una resistenza alla precomputazione che va oltre la semplice resistenza alla compromissione del server. FIDO2 fornisce il vincolo all'origine che impedisce il phishing. La scelta dipende dal fatto che sia necessaria un'autenticazione basata su password o che questa possa essere sostituita con credenziali a chiave pubblica.

I protocolli PAKE sono più complessi da implementare correttamente rispetto al semplice hashing delle password e dovrebbero essere basati su librerie sottoposte ad audit. Il CFRG dell'IETF ha standardizzato CPace (B-PAKE) e OPAQUE (A-PAKE) come scelte raccomandate per i nuovi protocolli. SRP continua a essere utilizzato nelle implementazioni esistenti, ma OPAQUE è preferibile per i nuovi progetti.

I protocolli PAKE consentono l'autenticazione reciproca basata su password e l'instaurazione delle chiavi. I B-PAKE (CPace, SPAKE2, J-PAKE) sono simmetrici. Gli A-PAKE (SRP, OPAQUE, SPAKE2+) memorizzano solo verificatori lato server. OPAQUE offre le garanzie più forti, inclusa la resistenza alla precomputazione. L'IETF ha standardizzato CPace e OPAQUE come scelte moderne raccomandate.