Summary

  • Der am 2. November eingereichte individuelle Internet-Draft EAP-PQPAKE beschreibt eine hybride, postquantenfähige Passwortmethode für EAP. Er zielt auf den Status Experimental und ist kein verabschiedeter IETF-Standard.
  • Der Start-Austausch ist unverschlüsselt. Ohne einen geschützten Tunnel sieht ein passiver Beobachter die Kennungen von Endgerät und Server. Eine anonyme äußere EAP-Kennung verdeckt sie nicht.
  • Wird der vollständige auf dem Server gespeicherte Verifier kompromittiert, sind laut Entwurf Offline-Passwortraten und eine Server-Imitation gegenüber dem Endgerät möglich. Betroffene Zugangsdaten müssen neu provisioniert werden.

Die Anmeldung verrät sich im ersten Satz

Die Autoren wollen verhindern, dass jemand heutige Passwort-Anmeldungen mitschneidet und Jahre später mit Quantenrechnern die daraus gewonnenen Schlüssel angreift. Dafür wird CPaceOQUAKE+ in EAP eingebettet. Gerade der Beginn dieser Methode ist jedoch kein geheimer Raum. In Start werden die Identitäten der beiden Seiten sichtbar übertragen. Der Schutz der späteren Schlüssel ist kein Schutz für die Namen im ersten Paket.

Ein Betreiber muss die Identitätsfrage vor dem Einbau entscheiden. Sollen die Kennungen verborgen bleiben, gehört die gesamte Methode in einen geschützten Tunnel. Eine anonyme Kennung im äußeren EAP-Verkehr reicht nicht, weil Start die Registrierungsidentitäten erneut verwendet. Wer nur den Algorithmus einkauft, hat diese Entwurfsentscheidung noch nicht getroffen.

Auch die gespeicherten Daten sind kein bloßes Verwaltungsdetail. Der Server hält (v, pk, kem_blind), Salt, Konfiguration und Registrierungsidentitäten vor. Den aus dem Passwort abgeleiteten Seed und den zugehörigen geheimen KEM-Schlüssel darf er nicht speichern. Die Registrierung muss den Server authentisieren und den Verifier schützen. Geht das vollständige Tupel verloren, kann ein Angreifer Passwörter offline prüfen und sich gegenüber dem Endgerät als Server ausgeben. Allein daraus folgt noch keine Imitation des Clients ohne weitere Geheimnisse. Die betroffenen Zugangsdaten müssen neu eingerichtet werden.

Für Online-Versuche verlangt der Entwurf außerdem eine Begrenzung gescheiterter Anmeldungen oder gleichwertige Kontrollen. Aufwendige Passwortableitung verteuert Angriffe auf gestohlene Daten; sie zählt keine Anfragen an einen laufenden Dienst. Wer beides vermischt, prüft am falschen Ort.

Der Text ist ein individueller Experimental-Entwurf; sein kryptografischer Unterbau ist ebenfalls noch in Arbeit. Er dokumentiert weder einen Einsatz noch einen Vorfall. Seine unmittelbare Aussage ist die Aufteilung der Verantwortung zwischen Schlüsselschutz, Identitätsschutz und Verifier-Verwahrung.

Originalquellen