โพรโทคอล PAKE และคุณสมบัติของโพรโทคอล

การแลกเปลี่ยนคีย์ที่ยืนยันตัวตนด้วยรหัสผ่าน (PAKE) เป็นตระกูลของโพรโทคอลที่ช่วยให้สองฝ่ายซึ่งมีเพียงรหัสผ่านเอนโทรปีต่ำร่วมกัน สามารถสร้างคีย์เซสชันเอนโทรปีสูงพร้อมการยืนยันตัวตนร่วมกันได้ ต่างจากการยืนยันตัวตนด้วยรหัสผ่านแบบดั้งเดิม PAKE ให้ความลับส่งต่อและความทนทานต่อการโจมตีแบบเดารหัสผ่านจากพจนานุกรมแบบออฟไลน์โดยไม่ต้องส่งรหัสผ่าน

PAKE แบบสมดุล (B-PAKE) ปฏิบัติต่อทั้งสองฝ่ายอย่างสมมาตร โดยทั้งไคลเอนต์และเซิร์ฟเวอร์ถือความลับเดียวกัน (รหัสผ่านหรือค่าที่แปลงแบบสมมาตรจากรหัสผ่าน) ส่วน PAKE แบบเสริม (A-PAKE) เป็นแบบไม่สมมาตร โดยเซิร์ฟเวอร์ถือเพียงค่าตรวจสอบสาธารณะที่ได้จากรหัสผ่าน ทำให้การที่เซิร์ฟเวอร์ถูกเจาะไม่ก่อให้เกิดความเสียหายร้ายแรงต่อความปลอดภัยของไคลเอนต์

การแลกเปลี่ยนคีย์เลขชี้กำลังอย่างง่ายด้วยรหัสผ่าน (SPEKE) เป็น PAKE แบบสมดุลที่ทั้งสองฝ่ายใช้รหัสผ่านเพื่อกำหนดตัวกำเนิดกลุ่ม g = H(password) จากนั้นจึงทำการแลกเปลี่ยนคีย์แบบ Diffie-Hellman โดยใช้ตัวกำเนิดที่ได้จากรหัสผ่าน ทำให้เฉพาะฝ่ายที่รู้รหัสผ่านเท่านั้นที่ทำการแลกเปลี่ยนให้เสร็จสมบูรณ์ได้

การแลกเปลี่ยนคีย์ที่ยืนยันตัวตนด้วยรหัสผ่านแบบสับเปลี่ยน (J-PAKE) ตามมาตรฐาน RFC 8236 ใช้การพิสูจน์ความรู้ศูนย์เพื่อให้สองฝ่ายสร้างคีย์เซสชันจากรหัสผ่านร่วมกัน J-PAKE ถูกใช้ใน Thread (โพรโทคอลเครือข่ายสำหรับอินเทอร์เน็ตของสรรพสิ่ง) และถูกนำไปใช้งานใน OpenSSL โพรโทคอลนี้ไม่มีสิทธิบัตรและมีคุณสมบัติของ PAKE แบบสมดุล

OPAQUE (ร่างของ IETF, draft-irtf-cfrg-opaque) เป็น PAKE แบบเสริมที่มีคุณสมบัติด้านความปลอดภัยแข็งแกร่ง ระหว่างการลงทะเบียน ไคลเอนต์ใช้ PRF แบบไม่เปิดเผย (OPRF) เพื่อสร้างคีย์จากรหัสผ่านโดยที่เซิร์ฟเวอร์ไม่เรียนรู้รหัสผ่าน เซิร์ฟเวอร์จะจัดเก็บซองข้อมูลเข้ารหัสที่มีคีย์ส่วนตัวของไคลเอนต์อยู่ภายใน

ระหว่างการเข้าสู่ระบบด้วย OPAQUE ไคลเอนต์และเซิร์ฟเวอร์จะทำโพรโทคอล OPRF เพื่อสร้างคีย์ของไคลเอนต์ขึ้นใหม่โดยที่เซิร์ฟเวอร์ไม่เรียนรู้รหัสผ่าน จากนั้นไคลเอนต์ใช้คีย์นี้ถอดรหัสซองข้อมูลและเรียกดูข้อมูลรับรองเพื่อทำการแลกเปลี่ยนคีย์ให้เสร็จสมบูรณ์ เซิร์ฟเวอร์จะไม่เห็นรหัสผ่านในระยะใดเลย

OPAQUE มีความทนทานต่อการคำนวณล่วงหน้า แม้ผู้โจมตีจะเจาะเซิร์ฟเวอร์และได้ข้อมูลที่จัดเก็บไว้ทั้งหมด ก็ไม่สามารถโจมตีแบบเดารหัสผ่านจากพจนานุกรมแบบออฟไลน์กับค่าที่จัดเก็บไว้ได้ หากไม่จำลองการโต้ตอบ OPRF ใหม่สำหรับการเดาแต่ละครั้ง หลักประกันนี้แข็งแกร่งกว่าที่ SRP มอบให้

SPAKE2 (RFC 9382) เป็น PAKE แบบสมดุลที่เรียบง่าย ซึ่งอาศัย Diffie-Hellman พร้อมกุญแจสาธารณะที่ถูกบดบังด้วยรหัสผ่าน SPAKE2+ เป็นรุ่นแบบเสริมที่เซิร์ฟเวอร์จัดเก็บค่าแยกกันสำหรับบทบาทไคลเอนต์และเซิร์ฟเวอร์ แอปเปิลใช้ SPAKE2+ ใน HomeKit เพื่อจับคู่อุปกรณ์ และยังมีการใช้โพรโทคอลนี้ในโพรโทคอลจัดเตรียมอุปกรณ์อินเทอร์เน็ตของสรรพสิ่งหลายรายการ

CPace (องค์ประกอบ RFC 9380) เป็น PAKE ที่ออกแบบให้ประกอบร่วมกับส่วนอื่นได้ โดย Haase และ Labrique และได้รับเลือกให้เป็น PAKE แบบสมดุลตามมาตรฐาน IETF CPace ออกแบบมาให้ประกอบร่วมกับขั้นตอนยืนยันคีย์ที่ตามมา และแนะนำให้ใช้ในโพรโทคอลใหม่ที่ต้องการ PAKE แบบสมดุล นี่คือ B-PAKE ที่ CFRG เลือกใช้ควบคู่กับ OPAQUE ในฐานะ A-PAKE

PAKE ทุกแบบให้การยืนยันตัวตนและการสร้างคีย์ A-PAKE ยังให้ความทนทานต่อการที่เซิร์ฟเวอร์ถูกเจาะเพิ่มเติมด้วย OPAQUE ให้ความทนทานต่อการคำนวณล่วงหน้านอกเหนือจากความทนทานต่อการที่เซิร์ฟเวอร์ถูกเจาะ FIDO2 ให้การผูกกับต้นทางซึ่งป้องกันฟิชชิง การเลือกใช้ขึ้นอยู่กับว่าจำเป็นต้องใช้การยืนยันตัวตนด้วยรหัสผ่านหรือสามารถแทนที่ด้วยข้อมูลรับรองกุญแจสาธารณะได้

การนำโพรโทคอล PAKE ไปใช้งานให้ถูกต้องซับซ้อนกว่าการแฮชรหัสผ่านอย่างง่าย และควรเลือกใช้จากไลบรารีที่ผ่านการตรวจสอบแล้ว IETF CFRG ได้กำหนดมาตรฐาน CPace (B-PAKE) และ OPAQUE (A-PAKE) ให้เป็นตัวเลือกที่แนะนำสำหรับโพรโทคอลใหม่ SRP ยังคงถูกใช้ในระบบที่มีอยู่ แต่สำหรับการออกแบบใหม่ควรเลือก OPAQUE

โพรโทคอล PAKE ช่วยให้ยืนยันตัวตนร่วมกันด้วยรหัสผ่านพร้อมกับสร้างคีย์ได้ B-PAKE (CPace, SPAKE2, J-PAKE) เป็นแบบสมมาตร ส่วน A-PAKE (SRP, OPAQUE, SPAKE2+) จัดเก็บเฉพาะค่าตรวจสอบไว้ฝั่งเซิร์ฟเวอร์ OPAQUE ให้หลักประกันที่แข็งแกร่งที่สุด รวมถึงความทนทานต่อการคำนวณล่วงหน้า IETF ได้กำหนดมาตรฐาน CPace และ OPAQUE ให้เป็นตัวเลือกสมัยใหม่ที่แนะนำ