SRP: protokół bezpiecznego zdalnego hasła

Protokół Secure Remote Password (SRP) został opracowany przez Toma Wu na Uniwersytecie Stanforda i opublikowany jako RFC 2945 w 2000 roku; później zdefiniowano jego ulepszoną wersję SRP-6a. SRP umożliwia uwierzytelnianie wzajemne na podstawie wspólnego hasła bez przesyłania samego hasła, nawet w postaci zaszyfrowanej.

Podczas rejestracji w SRP klient oblicza weryfikator hasła v = g^x mod N, gdzie x = H(salt || password), a N jest dużą bezpieczną liczbą pierwszą. Serwer przechowuje wyłącznie sól i weryfikator v. Nawet jeśli baza danych serwera zostanie przejęta, przechowywany weryfikator nie ujawnia bezpośrednio hasła.

Podczas logowania w SRP klient i serwer przeprowadzają wymianę podobną do Diffiego-Hellmana, która generuje wspólny klucz sesji. Obliczenia po obu stronach uwzględniają wartość wyprowadzoną z hasła, dlatego wynikowy klucz sesji może zostać poprawnie obliczony wyłącznie przez kogoś, kto zna odpowiednio hasło i weryfikator.

SRP zapewnia uwierzytelnianie wzajemne: klient udowadnia znajomość hasła, a serwer udowadnia, że posiada prawidłowy weryfikator. Zapobiega to atakom phishingowym, w których fałszywy serwer próbuje zebrać informacje o haśle, ponieważ fałszywy serwer nie może poprawnie zakończyć wymiany SRP bez prawdziwego weryfikatora.

Weryfikator oblicza się jako v = g^x mod N, gdzie x = H(salt || password), g jest generatorem, a N jest bezpieczną liczbą pierwszą o długości 2048 bitów lub większej. Problem logarytmu dyskretnego sprawia, że odzyskanie x na podstawie v jest obliczeniowo niewykonalne. Hasło można zweryfikować wyłącznie poprzez pomyślne przeprowadzenie pełnej wymiany SRP.

SRP-6a eliminuje słabości pierwotnych projektów SRP-3 i SRP-6, wprowadzając parametr mnożnika k = H(N, g) oraz zmieniając kolejność obliczeń po stronie klienta i serwera. Zmiany te zapobiegają niektórym atakom zgadywania typu dwa za jednym razem i zapewniają, że udział serwera zostaje wcześnie powiązany z protokołem.

SRP znalazł szerokie zastosowanie w rzeczywistych systemach. Firma Apple używa SRP do synchronizacji iCloud Keychain, aby umożliwić urządzeniom pobieranie danych pęku kluczy bez ujawniania hasła do konta serwerom Apple. 1Password korzystało z SRP w swoim modelu uwierzytelniania, aby zapobiegać ujawnieniu danych uwierzytelniających po stronie serwera.

Ponieważ SRP generuje klucz sesji wiążący zarówno hasło, jak i weryfikator serwera, serwer phishingowy nie może poprawnie zakończyć uzgadniania SRP. Użytkownik łączący się z witryną phishingową przez SRP nie przejdzie uwierzytelniania, co zapewnia wbudowaną właściwość chroniącą przed phishingiem, nieobecną w tradycyjnym przesyłaniu haseł.

SRP jest kosztowny obliczeniowo i wymaga potęgowania modularnego na dużych liczbach całkowitych (co najmniej 2048-bitowych). Jego poprawna implementacja jest złożona, a wiele subtelnych problemów związanych z walidacją parametrów doprowadziło do powstania podatnych implementacji. Protokół wymaga również bezpiecznego kanału (TLS), aby zapobiec pasywnemu podsłuchiwaniu samej wymiany.

RFC 5054 definiuje zestawy szyfrów TLS-SRP, które integrują uwierzytelnianie wzajemne SRP bezpośrednio z uzgadnianiem TLS. Eliminuje to potrzebę używania certyfikatów serwera, a jednocześnie zapewnia szyfrowane uwierzytelnianie wzajemne. TLS-SRP zyskał jednak w praktyce niewielką popularność, ponieważ pojawiły się nowocześniejsze alternatywy, takie jak FIDO2 i OPAQUE.

Choć SRP był przełomowym rozwiązaniem, nowoczesne alternatywy, takie jak OPAQUE, zapewniają silniejsze gwarancje bezpieczeństwa (odporność na wstępne obliczenia), a FIDO2/passkeys całkowicie eliminują hasła. W nowych systemach preferowane są OPAQUE lub FIDO2, ale SRP nadal jest prawidłowym wyborem dla systemów wymagających uwierzytelniania wzajemnego za pomocą hasła bez podatności na phishing.

Co w protokole SRP serwer przechowuje zamiast hasła użytkownika?

SRP przechowuje weryfikator hasła, a nie hasło, generuje wspólny klucz sesji za pomocą wymiany podobnej do DH i zapewnia odporne na phishing uwierzytelnianie wzajemne. SRP-6a zwiększa odporność pierwotnego projektu na ataki zgadywania. Pęk kluczy iCloud firmy Apple oraz 1Password używają SRP w systemach produkcyjnych. OPAQUE i FIDO2 to nowocześni następcy SRP przeznaczeni do nowych systemów.