SRP: 보안 원격 비밀번호 프로토콜

보안 원격 비밀번호(SRP) 프로토콜은 Stanford의 Tom Wu가 개발했으며 2000년에 RFC 2945로 발표되었습니다. 이후 개선된 버전인 SRP-6a가 정의되었습니다. SRP는 비밀번호 자체를 암호화된 형태로도 전송하지 않고, 공유된 비밀번호를 기반으로 상호 인증을 수행할 수 있게 합니다.

SRP 등록 과정에서 클라이언트는 v = g^x mod N이라는 비밀번호 검증값을 계산합니다. 여기서 x = H(salt || password)이고 N은 큰 안전 소수입니다. 서버는 솔트와 검증값 v만 저장합니다. 서버 데이터베이스가 침해되더라도 저장된 검증값만으로 비밀번호가 직접 드러나지는 않습니다.

SRP 로그인 과정에서 클라이언트와 서버는 Diffie-Hellman과 유사한 교환을 수행하여 공유 세션 키를 생성합니다. 양쪽의 계산에는 비밀번호에서 파생된 값이 포함되므로, 그 결과인 세션 키는 각각 비밀번호와 검증값을 알고 있는 사람만 올바르게 계산할 수 있습니다.

SRP는 상호 인증을 제공합니다. 클라이언트는 비밀번호를 알고 있음을 증명하고, 서버는 정식 검증값을 보유하고 있음을 증명합니다. 따라서 가짜 서버가 비밀번호 정보를 수집하려는 피싱 공격을 방지할 수 있습니다. 진짜 검증값 없이는 가짜 서버가 SRP 교환을 올바르게 완료할 수 없기 때문입니다.

검증값은 v = g^x mod N으로 계산됩니다. 여기서 x = H(salt || password)이고, g는 생성원이며, N은 2048비트 이상의 안전 소수입니다. 이산 로그 문제 때문에 v에서 x를 복구하는 것은 계산상 실행 불가능합니다. 비밀번호는 전체 SRP 교환을 성공적으로 완료해야만 검증할 수 있습니다.

SRP-6a는 승수 매개변수 k = H(N, g)를 도입하고 클라이언트와 서버의 계산 순서를 변경하여 기존 SRP-3 및 SRP-6 설계의 약점을 해결합니다. 이러한 변경으로 한 번의 추측으로 두 값을 동시에 확인하는 공격을 방지하고, 프로토콜 초기에 서버의 기여값이 묶이도록 합니다.

SRP는 실제 환경에 상당히 폭넓게 도입되었습니다. Apple은 iCloud 키체인 동기화에 SRP를 사용하여 계정 비밀번호를 Apple 서버에 공개하지 않고도 기기에서 키체인 데이터를 가져올 수 있게 합니다. 1Password는 서버 측 자격 증명 노출을 방지하기 위해 인증 모델에 SRP를 사용해 왔습니다.

SRP는 비밀번호와 서버의 검증값을 모두 연결하는 세션 키를 생성하므로 피싱 서버는 SRP 핸드셰이크를 올바르게 완료할 수 없습니다. 사용자가 SRP를 사용하는 피싱 사이트에 연결하면 인증에 실패하므로, 기존의 비밀번호 제출 방식에는 없는 내장형 피싱 방지 기능을 제공합니다.

SRP는 2048비트 이상의 큰 정수에 대한 모듈러 거듭제곱을 요구하므로 계산 비용이 높습니다. 또한 올바르게 구현하기가 복잡하며, 매개변수 검증 과정의 미묘한 문제로 인해 구현 취약점이 발생한 사례가 많습니다. 교환 과정 자체가 수동 도청에 노출되지 않도록 프로토콜에는 보안 채널(TLS)도 필요합니다.

RFC 5054는 SRP 상호 인증을 TLS 핸드셰이크에 직접 통합하는 TLS-SRP 암호 스위트를 정의합니다. 이를 통해 서버 인증서가 없어도 암호화된 상호 인증을 제공할 수 있습니다. 그러나 FIDO2와 OPAQUE가 더 현대적인 대안으로 등장하면서 TLS-SRP는 실제 환경에서 제한적으로만 도입되었습니다.

SRP는 획기적인 기술이었지만, OPAQUE와 같은 현대적인 대안은 더 강력한 보안 보장(사전 계산 내성)을 제공하고 FIDO2/패스키는 비밀번호를 완전히 없앱니다. 새로운 시스템에는 OPAQUE 또는 FIDO2가 선호되지만, 피싱 취약점 없이 비밀번호 기반 상호 인증이 필요한 시스템에서는 여전히 SRP를 유효한 선택지로 사용할 수 있습니다.

SRP에서 서버는 사용자의 비밀번호 대신 무엇을 저장합니까?

SRP는 비밀번호가 아닌 비밀번호 검증값을 저장하고, DH와 유사한 교환을 통해 공유 세션 키를 생성하며, 피싱에 견디는 상호 인증을 제공합니다. SRP-6a는 추측 공격 내성을 추가하여 기존 설계를 개선했습니다. Apple의 iCloud 키체인과 1Password는 실제 환경에서 SRP를 사용합니다. 새로운 시스템에서는 OPAQUE와 FIDO2가 현대적인 후속 기술입니다.