Протоколы PAKE и их свойства

Обмен ключами с аутентификацией по паролю (PAKE) — это семейство протоколов, позволяющих двум сторонам, имеющим только пароль с низкой энтропией, установить ключ сеанса с высокой энтропией и выполнить взаимную аутентификацию. В отличие от традиционной парольной аутентификации, PAKE обеспечивает прямую секретность и устойчивость к автономным словарным атакам, не передавая пароль.

Сбалансированный PAKE (B-PAKE) рассматривает обе стороны симметрично: и клиент, и сервер хранят один и тот же секрет — пароль или его симметричное преобразование. Расширенный PAKE (A-PAKE) является асимметричным: сервер хранит только открытое проверочное значение, полученное из пароля, поэтому компрометация сервера не приводит к катастрофическим последствиям для безопасности клиента.

Простой экспоненциальный обмен ключами по паролю (SPEKE) — это сбалансированный PAKE, в котором обе стороны используют пароль для определения образующего элемента группы g = H(пароль). Последующий обмен является обменом ключами Диффи—Хеллмана с использованием этого образующего элемента, полученного из пароля. Поэтому завершить его могут только стороны, знающие пароль.

Обмен ключами с аутентификацией по паролю методом перестановки (J-PAKE), RFC 8236, использует доказательства с нулевым разглашением, чтобы две стороны могли установить ключ сеанса на основе общего пароля. J-PAKE используется в Thread (сетевом протоколе Интернета вещей) и реализован в OpenSSL. Он не защищён патентами и обеспечивает свойства сбалансированного PAKE.

OPAQUE (черновик IETF, draft-irtf-cfrg-opaque) — это расширенный PAKE с сильными свойствами безопасности. Во время регистрации клиент использует нераскрывающую PRF (OPRF), чтобы получить ключ из пароля, не позволяя серверу узнать пароль. Сервер хранит зашифрованный контейнер, содержащий закрытый ключ клиента.

Во время входа в OPAQUE клиент и сервер выполняют протокол OPRF, чтобы восстановить ключ клиента, не позволяя серверу узнать пароль. Затем клиент использует этот ключ для расшифровки контейнера и получения учётных данных, необходимых для завершения обмена ключами. Сервер не видит пароль ни на одной из фаз.

OPAQUE обеспечивает устойчивость к предварительным вычислениям: даже если злоумышленник скомпрометирует сервер и получит все сохранённые данные, он не сможет выполнить автономную словарную атаку по сохранённым значениям, не имитируя новое взаимодействие OPRF для каждой попытки. Это более сильная гарантия, чем та, которую предоставляет SRP.

SPAKE2 (RFC 9382) — простой сбалансированный PAKE на основе обмена Диффи—Хеллмана с открытыми ключами, скрытыми с помощью пароля. SPAKE2+ — расширенный вариант, в котором сервер хранит отдельные значения для ролей клиента и сервера. Apple использует SPAKE2+ в HomeKit для сопряжения устройств; этот протокол также применяется в нескольких протоколах настройки устройств Интернета вещей.

CPace (компонент RFC 9380) — пригодный для композиции PAKE, разработанный Хаазе и Лабриком и принятый в качестве стандартного сбалансированного PAKE IETF. CPace разработан для композиции с последующими этапами подтверждения ключа и рекомендован для новых протоколов, которым нужен сбалансированный PAKE. Это выбранный CFRG сбалансированный PAKE наряду с OPAQUE как расширенным PAKE.

Все протоколы PAKE обеспечивают аутентификацию и установление ключа. Расширенные PAKE дополнительно обеспечивают устойчивость к компрометации сервера. OPAQUE обеспечивает устойчивость к предварительным вычислениям, превосходящую защиту от компрометации сервера. FIDO2 обеспечивает привязку к источнику, предотвращающую фишинг. Выбор зависит от того, требуется ли парольная аутентификация или её можно заменить учётными данными на основе открытого ключа.

Протоколы PAKE сложнее правильно реализовать, чем простое хеширование паролей, поэтому их следует брать из библиотек, прошедших аудит. CFRG IETF стандартизировал CPace (B-PAKE) и OPAQUE (A-PAKE) как рекомендуемые варианты для новых протоколов. SRP по-прежнему используется в существующих системах, но для новых проектов предпочтителен OPAQUE.

Какое свойство PAKE отличает расширенный PAKE (A-PAKE) от сбалансированного PAKE (B-PAKE)?

Протоколы PAKE обеспечивают взаимную аутентификацию на основе пароля и установление ключа. Сбалансированные PAKE (CPace, SPAKE2, J-PAKE) симметричны. Расширенные PAKE (SRP, OPAQUE, SPAKE2+) хранят только проверочные значения на стороне сервера. OPAQUE обеспечивает самые сильные гарантии, включая устойчивость к предварительным вычислениям. IETF стандартизировал CPace и OPAQUE как рекомендуемые современные варианты.