Summary

  • 11월 2일 제출된 EAP-PQPAKE 개인 인터넷 초안은 EAP에서 하이브리드 양자 내성 비밀번호 인증을 수행하는 방법을 제안한다. 목표 상태는 Experimental이며 IETF가 채택한 표준은 아니다.
  • Start 교환은 암호화되지 않는다. 보호된 터널이 없으면 수동 관찰자에게 단말과 서버 신원이 보인다. 바깥쪽 EAP 신원을 익명으로 적는 것만으로는 가릴 수 없다.
  • 서버의 검증 자료 전체가 유출되면 오프라인 비밀번호 추측과 단말을 상대로 한 서버 사칭이 가능하다고 초안은 적는다. 영향을 받은 자격 증명은 다시 설정해야 한다.

미래의 공격보다 먼저 도착하는 정보

누군가 오늘 인증 교환을 녹화하고 훗날 양자 계산 능력으로 이를 공격한다. 새 초안이 대비하려는 상황이다. 고전적 비밀번호 교환과 양자 내성 요소를 결합한 CPaceOQUAKE+를 EAP에 싣고 세션 키를 만든다. 그런데 맨 앞의 Start는 보호막 밖에 있다. 그 안의 단말 신원과 서버 신원은 평문이다.

운영자가 여기서 선택해야 한다. 신원 자체를 숨겨야 한다면 이 방법 전체를 보호된 터널 안에서 실행해야 한다. 외부 EAP 신원에 익명 문자열을 넣어도 Start에 등록 신원이 다시 나온다. 키를 보호했다는 시험 결과만으로 누가 접속했는지의 노출까지 해결했다고 말할 수 없다.

서버 쪽 장부에는 (v, pk, kem_blind)와 솔트, 설정, 등록 신원이 남는다. 비밀번호에서 파생한 seed와 관련 KEM 비밀키는 저장해서는 안 된다. 등록 과정은 서버를 인증하고 검증 자료를 보호해야 한다. 이 묶음 전체를 도난당하면 공격자는 비밀번호를 오프라인에서 추측하고 단말 앞에서 서버를 사칭할 수 있다. 그것만으로 추가 비밀 없이 단말까지 사칭할 수 있는 것은 아니다. 초안은 해당 자격 증명의 재설정을 요구한다.

실시간 추측에는 별도의 문지기가 필요하다. 서버는 실패한 인증 시도를 속도 제한하거나 동등한 통제를 해야 한다. 계산 비용이 큰 비밀번호 처리는 도난 자료를 공격하는 비용을 올리지만, 살아 있는 로그인 창으로 들어오는 시도 횟수를 제한하지 않는다.

문서는 개인이 제출한 실험적 초안이고 기반 알고리즘 역시 작업 중이다. 실제 배치, 침해 사건, 보급 규모는 보고하지 않는다. 지금 확인되는 것은 설계의 책임선이다. 미래의 키를 지키는 일과 첫 신원을 가리고 검증 자료를 지키는 일은 별도다.

원자료