Podstawowy problem uwierzytelniania hasłem

W tradycyjnym uwierzytelnianiu za pomocą hasła klient wysyła hasło lub jego skrót do serwera, który porównuje je z zapisaną wartością. Ten model jest prosty, ale koncentruje ogromne ryzyko po stronie serwera: przejęcie bazy danych ujawnia jednocześnie dane uwierzytelniające wszystkich użytkowników.

Gdy atakujący włamie się do serwera i wykradnie bazę haseł, może przeprowadzić offline'owy atak słownikowy z pełną szybkością GPU, bez ograniczenia liczby prób. Współczesne procesory GPU mogą sprawdzać miliardy haseł na sekundę względem skrótów bcrypt lub SHA-256, przez co słabe lub często używane hasła można odzyskać bez większego trudu.

Badania niezmiennie pokazują, że większość użytkowników używa tych samych haseł w wielu serwisach. Jedno przejęcie serwera ujawnia więc dane uwierzytelniające działające także w innych usługach. Ataki typu credential stuffing automatyzują sprawdzanie wyciekłych par nazwy użytkownika i hasła w popularnych witrynach, zamieniając jeden wyciek w wiele kolejnych.

Wzmacnianie haseł po stronie serwera (silne funkcje skrótu, solenie, ograniczanie liczby prób) nie zapewnia ochrony przed phishingiem. Gdy użytkownik wpisze hasło na fałszywej stronie, atakujący bezpośrednio uzyskuje hasło w jawnym tekście, niezależnie od tego, jak dobrze przechowuje je prawidłowy serwer. Phishing jest obecnie dominującą metodą kradzieży danych uwierzytelniających.

Bazy danych zawierające miliardy wyciekłych par nazw użytkowników i haseł z historycznych naruszeń są publicznie dostępne w dark webie. Atakujący używają zautomatyzowanych narzędzi do testowania tych danych uwierzytelniających w instytucjach finansowych, serwisach e-commerce i u dostawców poczty elektronicznej na przemysłową skalę. Odnoszą sukces, gdy użytkownicy ponownie wykorzystali hasło ujawnione podczas wcześniejszego naruszenia.

W tradycyjnym uwierzytelnianiu za pomocą hasła serwer z konieczności poznaje hasło użytkownika w jawnym tekście podczas logowania (nawet jeśli tylko przez krótką chwilę, przed obliczeniem skrótu). Oznacza to, że każdemu operatorowi serwera trzeba w pełni ufać, że nie wykorzysta, nie zapisze w logach ani przypadkowo nie ujawni danych uwierzytelniających, czego w praktyce rzadko można zagwarantować.

Idealny protokół uwierzytelniania pozwalałby użytkownikowi udowodnić znajomość hasła bez ujawniania go serwerowi. Serwer również udowadniałby, że jest prawidłowym serwerem (uwierzytelnianie wzajemne), zapobiegając phishingowi. Przejęta baza danych serwera nie ujawniałaby atakującemu niczego użytecznego.

Dowody z wiedzą zerową zapewniają teoretyczne podstawy takiego rozwiązania: dowodzący może przekonać weryfikatora o prawdziwości informacji dotyczącej sekretu bez ujawniania samego sekretu. Protokoły uwierzytelniania za pomocą hasła, takie jak SRP i OPAQUE, wykorzystują te zasady, aby umożliwić uwierzytelnianie bez bezpośredniego przesyłania hasła i bez przechowywania hasła po stronie serwera.

Silne protokoły uwierzytelniania za pomocą hasła powinny być odporne na ataki słownikowe offline, nawet jeśli dane przechowywane przez serwer zostaną w całości przejęte. Oznacza to, że przechowywany weryfikator nie może nadawać się bezpośrednio do podszycia się pod użytkownika ani umożliwiać wydajnego zgadywania hasła offline bez współpracy serwera.

Przy setkach usług wymagających uwierzytelniania tradycyjny model wymaga zaufania każdemu operatorowi usługi, któremu powierzany jest sekret mogący być ponownie używany w innych miejscach. Rozwiązaniem jest całkowite wyeliminowanie przesyłania haseł, przechowywanie wyłącznie niewykorzystywalnych ponownie weryfikatorów oraz powiązanie uwierzytelniania z tożsamością konkretnego serwera w celu zapobiegania phishingowi.

Do nowoczesnych rozwiązań należą SRP (Secure Remote Password), OPAQUE oraz FIDO2/passkeys. Każde z nich rozwiązuje inne aspekty podstawowego problemu. SRP i OPAQUE eliminują znajomość hasła po stronie serwera. FIDO2/passkeys całkowicie eliminują hasła, wykorzystując kryptografię klucza publicznego powiązaną z konkretnym originem.

Tradycyjne uwierzytelnianie za pomocą hasła wymaga od serwerów weryfikowania sekretów, które poznają, umożliwia łamanie haseł offline po naruszeniach bezpieczeństwa i jest podatne na phishing. Ponowne używanie haseł zmienia pojedyncze naruszenia w awarie całego systemu. Idealny system zapewnia uwierzytelnianie wzajemne bez przesyłania sekretu, przechowuje wyłącznie weryfikatory, których nie można złamać, i wiąże uwierzytelnianie z tożsamością serwera.