Summary

  • 11月2日に提出されたEAP-PQPAKEは、古典方式と耐量子方式を組み合わせたEAP向けパスワード認証の個人草案だ。目標はExperimentalで、IETFの正式な標準ではない。
  • Start交換は暗号化されない。保護されたトンネルに入れなければ、観測者には端末側とサーバー側の識別情報が見える。外側のEAP識別子だけを匿名にしても隠せない。
  • サーバーが保持する検証情報一式が漏れると、オフラインでのパスワード推測とサーバーのなりすましが可能になると草案は記す。影響を受けた資格情報の再設定が必要だ。

鍵の前に、名札が通る

通信を記録しておき、後年の量子計算能力で鍵を破る。新草案が念頭に置くのは、そんな長い時間差の攻撃だ。CPaceOQUAKE+をEAPに組み込み、相互認証と鍵の導出を設計する。ただし、その強い交換を始めるためのStartには、端末とサーバーの識別情報が平文で載る。

ここで「匿名」を一か所設定して済ませることはできない。外側のEAP識別子を匿名にしても、Start内の登録用識別情報は残る。名前を隠したいネットワーク事業者は、方式全体を保護されたトンネル内で動かす必要がある。秘密にしたいのが鍵なのか、利用者がその場にいる事実なのか。調達仕様には両方を書かなければならない。

保管庫の中身にも条件が付く。サーバーは検証情報 (v, pk, kem_blind) とソルト、設定、登録時の識別情報を保持する。一方、パスワードから導いたseedと対応するKEM秘密鍵は保存してはならない。登録時にはサーバー認証と保護された転送が必要だ。検証情報一式が奪われれば、攻撃者はパスワードをオフラインで試し、端末に対してサーバーを装える。それだけで端末を装えるわけではないが、影響を受けた資格情報は再設定する。

オンラインでのパスワード試行には別の制御が要る。草案は失敗した認証へのレート制限などをサーバーに求める。盗まれた情報への計算コストと、稼働中の認証窓口への試行回数は別勘定である。

これは実験的な個人草案で、基礎となるアルゴリズムも草案段階にある。導入実績や侵害事例は示されていない。今回明らかになったのは、将来の鍵を守る設計でさえ、今日の名前とサーバーの保管責任を自動では守らないという境界だ。

一次資料