Funkcje wyprowadzania klucza: PBKDF2, bcrypt i Argon2

Przechowywanie haseł wymaga specjalnej klasy funkcji kryptograficznych nazywanej funkcją haszującą hasła (PHF) lub funkcją wyprowadzania klucza (KDF). Zwykłe kryptograficzne funkcje skrótu, takie jak SHA-256, projektuje się tak, aby były szybkie — nowoczesny procesor GPU może obliczać miliardy skrótów SHA-256 na sekundę. Ta szybkość jest katastrofalna dla przechowywania haseł: atakujący, który wykradnie bazę skrótów, może sprawdzać miliardy prób na sekundę. Funkcje KDF dla haseł są celowo powolne i można je dostrajać tak, aby ataki brute force były obliczeniowo nieopłacalne, a jednocześnie umożliwiały legalne logowanie w ciągu milisekund.

Zanim powstały dedykowane funkcje KDF dla haseł, atakujący używali tablic tęczowych — wstępnie obliczonych odwzorowań wartości skrótów na odpowiadające im hasła w tekście jawnym. Sól to losowa wartość unikalna dla każdego użytkownika, dołączana przed hasłem lub po nim przed wykonaniem haszowania. Dzięki temu każdy skrót jest unikalny, nawet gdy hasła są identyczne. Sole są przechowywane w bazie danych razem ze skrótem — nie są tajne, lecz losowe. Prawidłowa sól musi mieć co najmniej 16 bajtów, być wygenerowana przez kryptograficznie bezpieczny generator liczb losowych i być przechowywana oddzielnie dla każdego użytkownika (nigdy nie należy używać jej ponownie dla różnych kont).

PBKDF2 (Password-Based Key Derivation Function 2) jest zdefiniowana w RFC 8018 i zatwierdzona przez NIST. Działa poprzez wielokrotne zastosowanie funkcji HMAC (zwykle HMAC-SHA-256) do hasła i soli, przez konfigurowalną liczbę iteracji. Liczba iteracji jest współczynnikiem pracy — od 2023 roku NIST zaleca co najmniej 600 000 iteracji PBKDF2-HMAC-SHA256. PBKDF2 jest szeroko stosowana (Django, iOS Keychain, WPA2-PSK), ale ma jedną wadę: można ją wydajnie implementować na procesorach GPU, przez co jest mniej odporna na ataki z użyciem GPU niż alternatywne rozwiązania.

bcrypt został zaprojektowany przez Nielsa Provosa i Davida Mazièresa w 1999 roku i nadal jest szeroko stosowany. Jego kluczową innowacją jest współczynnik kosztu (parametr rounds), przy czym każdy jego przyrost podwaja czas obliczeń. bcrypt używa zmodyfikowanego szyfru Blowfish z mechanizmem Eksblowfish key setup, który intensywnie wykorzystuje zarówno procesor, jak i pamięć, przez co znacznie trudniej go przyspieszyć na GPU niż PBKDF2. bcrypt ogranicza również dane wejściowe hasła do 72 bajtów (dłuższe hasła są obcinane), dlatego w niektórych implementacjach długie hasła trzeba najpierw zahaszować za pomocą SHA-256.

Argon2 wygrał konkurs Password Hashing Competition w 2015 roku i jest obecnie zalecany przez OWASP. Występuje w trzech wariantach: Argon2d (szybszy, podatny na ataki z kanałem bocznym, najlepszy dla kryptowalut), Argon2i (działający w stałym czasie, najlepszy do haszowania haseł) oraz Argon2id (hybrydowy, zalecany w większości zastosowań). Argon2id można konfigurować w trzech wymiarach: koszt czasowy (liczba iteracji), koszt pamięci (wymagana pamięć RAM) oraz równoległość (liczba wątków). Wysokie wymagania pamięciowe bardzo utrudniają równoległe wykonywanie obliczeń na GPU i całkowicie uniemożliwiają ich efektywną realizację na układach ASIC.

Procesory GPU mają tysiące rdzeni, ale ograniczoną ilość pamięci przypadającą na każdy rdzeń — doskonale nadają się do równoległego wykonywania prostych obliczeń wymagających niewielkiej ilości pamięci. Funkcje odporne na ograniczenia pamięci, takie jak Argon2 i scrypt, wymagają dużej ilości pamięci RAM przy każdym obliczaniu skrótu. Jeśli atakujący chce uruchomić 10 000 równoległych obliczeń Argon2id, z których każde wymaga 64 MB pamięci, potrzebuje 640 GB pamięci GPU — znacznie więcej, niż jest dostępne w jakimkolwiek klastrze GPU. Ta właściwość, nazywana odpornością pamięciową, zmusza atakujących do korzystania z powolnych, sekwencyjnych obliczeń albo ponoszenia ogromnych kosztów sprzętowych, które sprawiają, że ataki stają się nieopłacalne.

Właściwy współczynnik pracy zależy od używanego sprzętu i akceptowalnego opóźnienia. Ogólnym celem jest 100–300 ms na serwerowym sprzęcie produkcyjnym przy każdym uwierzytelnianiu. Wraz z rozwojem sprzętu należy zwiększać współczynnik pracy — dlatego bcrypt i Argon2 przechowują parametry razem ze skrótem, umożliwiając przezroczyste aktualizacje: przy następnym logowaniu należy zweryfikować hasło, a następnie ponownie obliczyć jego skrót z użyciem nowych, wyższych parametrów. OWASP publikuje aktualne zalecane wartości minimalne parametrów PBKDF2, bcrypt i Argon2id, które należy przeglądać co roku.

scrypt, zaprojektowany przez Colina Percivala w 2009 roku, był pierwszą szeroko stosowaną funkcją KDF odporną na ograniczenia pamięci i jest używany przez Litecoin oraz wiele menedżerów haseł. Parametry scrypt to N (koszt procesora i pamięci), r (rozmiar bloku) oraz p (współczynnik równoległości). Podobnie jak Argon2, wysokie wartości N wymagają dużej ilości pamięci RAM przy każdym obliczeniu. scrypt jest uznawany za bezpieczny, ale w nowych aplikacjach zwykle preferuje się Argon2id, ponieważ wygrał konkurs PHC i został poddany dokładniejszej analizie kryptograficznej. Oba rozwiązania są dopuszczalnym wyborem.

W przypadku haseł nigdy nie należy używać kilku podejść do haszowania: MD5 (złamany, na sprzęcie konsumenckim można obliczać miliardy skrótów na sekundę), SHA-1 (ten sam problem), SHA-256 bez soli (szybki, a użycie tablic tęczowych jest banalne) ani prostego szyfrowania (odwracalne, więc kradzież klucza oznacza ujawnienie wszystkich haseł). W wyniku historycznych wycieków, takich jak LinkedIn (2012), gdzie użyto SHA-1 bez soli, ujawniono 117 milionów haseł, które złamano w ciągu kilku dni. Firma Adobe (2013) zaszyfrowała hasła zamiast je zahaszować — był to fundamentalny błąd, który doprowadził do ujawnienia 153 milionów kont. Te incydenty znajdują się w zakresie materiału egzaminacyjnego Security+.

Funkcje KDF służą także do wyprowadzania kluczy szyfrujących z haseł (zamiast przechowywania skrótów haseł). Gdy użytkownik ustawia hasło główne do zaszyfrowanego sejfu, aplikacja używa funkcji KDF do wyprowadzenia właściwego klucza szyfrującego AES-256 na podstawie tego hasła. Dzięki temu menedżery haseł mogą lokalnie odszyfrowywać sejf — uruchamiają funkcję KDF dla hasła głównego, aby odtworzyć klucz szyfrujący, który nigdy nie opuszcza urządzenia. HKDF (HMAC-based Key Derivation Function) to standard służący do wyprowadzania wielu kluczy z pojedynczego sekretu o wysokiej entropii; jest używany w TLS 1.3 do wyprowadzania kluczy uzgadniania i kluczy aplikacji.

Credential stuffing polega na wykorzystywaniu par nazw użytkowników i haseł skradzionych podczas jednego ataku do uzyskiwania dostępu do innych usług. Silne funkcje KDF skracają czas dostępny na łamanie haseł w trybie offline po wycieku danych — jeśli osoba atakująca musi poświęcić 300 ms na każdą próbę zamiast kilku mikrosekund, złamanie losowego hasła o długości 10 znaków staje się obliczeniowo niewykonalne. Funkcje KDF nie chronią jednak przed ponownym używaniem haseł w różnych serwisach — w tym celu użytkownicy muszą stosować unikatowe hasła. Połączenie unikatowych haseł + przechowywania za pomocą Argon2id + MFA sprawia, że ataki oparte na danych uwierzytelniających stają się w praktyce nieskuteczne.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedziałeś się, że: funkcje KDF dla haseł są celowo powolne i mają konfigurowalne parametry nakładu pracy, aby ataki brute force w trybie offline stały się obliczeniowo niewykonalne; funkcje wymagające dużej ilości pamięci, takie jak Argon2id i scrypt, ograniczają możliwość równoległego przetwarzania na GPU, ponieważ każda operacja wymaga dużej ilości pamięci RAM; a MD5, SHA-1 i hasze bez soli są całkowicie nieodpowiednie do przechowywania haseł, co potwierdziły liczne głośne przypadki wycieku danych. W następnej części omówimy kryptografię postkwantową oraz algorytmy wybrane przez NIST w celu zastąpienia RSA i ECC.