SRP: протокол безопасной удалённой аутентификации по паролю

Протокол безопасного удалённого пароля (SRP) был разработан Томом Ву в Стэнфордском университете и опубликован в виде RFC 2945 в 2000 году. Позднее была определена улучшенная версия SRP-6a. SRP обеспечивает взаимную аутентификацию на основе общего пароля, не передавая сам пароль даже в зашифрованном виде.

Во время регистрации в SRP клиент вычисляет проверочное значение v = g^x mod N, где x = H(соль || пароль), а N — большое безопасное простое число. Сервер хранит только соль и проверочное значение v. Даже если база данных сервера будет скомпрометирована, сохранённое проверочное значение не раскрывает пароль напрямую.

Во время входа в SRP клиент и сервер выполняют обмен, подобный обмену Диффи—Хеллмана, в результате которого формируется общий ключ сеанса. Вычисления с обеих сторон используют значение, полученное из пароля, поэтому правильно вычислить итоговый ключ сеанса могут только клиент, знающий пароль, и сервер, располагающий соответствующим проверочным значением.

SRP обеспечивает взаимную аутентификацию: клиент доказывает, что знает пароль, а сервер доказывает, что располагает подлинным проверочным значением. Это предотвращает фишинговые атаки, при которых поддельный сервер пытается получить сведения о пароле, поскольку без настоящего проверочного значения поддельный сервер не сможет правильно завершить обмен SRP.

Проверочное значение вычисляется как v = g^x mod N, где x = H(соль || пароль), g — образующий элемент, а N — безопасное простое число размером 2048 бит или больше. Задача дискретного логарифмирования делает вычислительно невыполнимым восстановление x из v. Проверить пароль можно только успешно завершив полный обмен SRP.

SRP-6a устраняет недостатки исходных вариантов SRP-3 и SRP-6: в нём введён множитель k = H(N, g) и изменён порядок вычислений на стороне клиента и сервера. Эти изменения предотвращают некоторые атаки угадывания с двойной выгодой и обеспечивают раннюю привязку вклада сервера к протоколу.

SRP получил широкое практическое применение. Apple использует SRP при синхронизации связки ключей iCloud, позволяя устройствам получать данные связки ключей без раскрытия пароля учётной записи серверам Apple. 1Password использовал SRP в своей модели аутентификации, чтобы предотвратить раскрытие учётных данных на стороне сервера.

Поскольку SRP формирует ключ сеанса, связывающий пароль и проверочное значение сервера, фишинговый сервер не может правильно завершить рукопожатие SRP. При подключении пользователя к фишинговому сайту через SRP аутентификация завершится неудачей. Это обеспечивает встроенную защиту от фишинга, которой нет при традиционной передаче пароля.

SRP требует значительных вычислительных ресурсов, поскольку использует модульное возведение в степень для больших целых чисел (2048 бит и более). Его сложно правильно реализовать: многочисленные тонкости проверки параметров уже приводили к уязвимостям реализаций. Кроме того, протокол требует защищённого канала (TLS), чтобы предотвратить пассивное прослушивание самого обмена.

RFC 5054 определяет наборы шифров TLS-SRP, которые встраивают взаимную аутентификацию SRP непосредственно в рукопожатие TLS. Это устраняет необходимость в сертификатах сервера, сохраняя зашифрованную взаимную аутентификацию. Однако на практике TLS-SRP получил ограниченное распространение, поскольку появились более современные альтернативы — FIDO2 и OPAQUE.

Хотя SRP стал революционным решением, современные альтернативы, такие как OPAQUE, обеспечивают более сильные гарантии безопасности (устойчивость к предварительным вычислениям), а FIDO2 и ключи доступа полностью устраняют пароли. Для новых систем предпочтительны OPAQUE или FIDO2, но SRP остаётся допустимым выбором для систем, которым нужна парольная взаимная аутентификация без уязвимости к фишингу.

Что хранит сервер в SRP вместо пароля пользователя?

SRP хранит проверочное значение пароля, а не сам пароль, формирует общий ключ сеанса посредством обмена, подобного DH, и обеспечивает устойчивую к фишингу взаимную аутентификацию. SRP-6a улучшает исходный протокол, повышая устойчивость к атакам угадывания. Связка ключей iCloud от Apple и 1Password используют SRP в рабочих системах. Для новых систем современными преемниками считаются OPAQUE и FIDO2.