PAKE 协议及其属性

密码认证密钥交换（PAKE）是一系列协议，允许仅共享低熵密码的双方建立高熵会话密钥并进行双向认证。与传统密码认证不同，PAKE 无需传输密码即可提供前向保密能力和对离线字典攻击的抵抗能力。

平衡型 PAKE（B-PAKE）以对称方式对待双方：客户端和服务器都持有相同的秘密（密码或密码的某种对称变换结果）。增强型 PAKE（A-PAKE）则采用非对称方式：服务器只持有由密码派生的公开验证器，因此即使服务器遭到入侵，也不会对客户端安全造成灾难性后果。

简单密码指数密钥交换（SPEKE）是一种平衡型 PAKE，双方使用密码定义群生成元 g = H(password)。后续交换是使用这一密码派生生成元执行的 Diffie-Hellman 密钥交换，因此只有知道密码的双方才能完成交换。

通过交错操作实现的密码认证密钥交换（J-PAKE，RFC 8236）使用零知识证明，使双方能够根据共享密码建立会话密钥。J-PAKE 用于 Thread（物联网网络协议），并已在 OpenSSL 中实现。它不受专利限制，并提供平衡型 PAKE 特性。

OPAQUE（IETF 草案 draft-irtf-cfrg-opaque）是一种具有强大安全特性的增强型 PAKE。在注册过程中，客户端使用不经意 PRF（OPRF）从密码派生密钥，而服务器不会获知密码。服务器存储一个包含客户端私钥的加密信封。

在 OPAQUE 登录过程中，客户端和服务器执行 OPRF 协议，以重建客户端的密钥，同时服务器不会获知密码。随后，客户端使用该密钥解密信封，并获取用于完成密钥交换的凭据。在任何阶段，服务器都不会获知密码。

OPAQUE 提供预计算攻击抵抗性：即使攻击者入侵服务器并获取所有存储数据，也无法仅针对存储值执行离线字典攻击，除非针对每次猜测都模拟一次全新的 OPRF 交互。这比 SRP 提供了更强的保证。

SPAKE2（RFC 9382）是一种简单的平衡型 PAKE，基于使用密码盲化公钥的 Diffie-Hellman。SPAKE2+ 是其增强型变体，服务器会为客户端角色和服务器角色分别存储不同的值。Apple 在 HomeKit 中使用 SPAKE2+ 来配对设备，多个物联网设备配置协议也使用了它。

CPace（RFC 9380 组件）是一种由 Haase 和 Labrique 设计的可组合 PAKE，并被 IETF 采用为标准平衡型 PAKE。CPace 的设计目标是与后续密钥确认步骤组合使用，因此推荐用于需要平衡型 PAKE 的新协议。它是 CFRG 选定的 B-PAKE，与作为 A-PAKE 的 OPAQUE 并列。

所有 PAKE 都提供认证和密钥建立。A-PAKE 还可在服务器遭到入侵时提供抵抗能力。OPAQUE 在此基础上进一步提供预计算攻击抵抗性。FIDO2 提供源站绑定，可防止网络钓鱼。具体选择取决于是否必须使用基于密码的认证，或者能否改用公钥凭据。

与简单的密码哈希相比，正确实现 PAKE 协议更加复杂，因此应使用经过审计的库。IETF CFRG 已将 CPace（B-PAKE）和 OPAQUE（A-PAKE）标准化为新协议的推荐选择。现有部署中仍在使用 SRP，但对于新设计，首选 OPAQUE。

PAKE 协议支持基于密码的双向认证和密钥建立。B-PAKE（CPace、SPAKE2、J-PAKE）是对称的。A-PAKE（SRP、OPAQUE、SPAKE2+）仅存储服务器端验证器。OPAQUE 提供最强的保证，包括预计算攻击抵抗性。IETF 已将 CPace 和 OPAQUE 标准化为推荐的现代方案。