Resumo

  • O SPAKE prende a derivação das chaves ao transcript para impedir que um falso KDC valide senhas offline. Ver PA-SPAKE não comprova que a troca alcançou essa verificação.
  • Se o cliente recorrer ao timestamp cifrado depois da falha, um observador passivo poderá atacar o valor digitado. Pré-autenticação concluída também não comprova autorização no aplicativo.

Um método novo falha e o cliente volta ao antigo. A operação registra continuidade; o usuário consegue tentar de novo. No limite descrito pelo RFC 9588, a mesma continuidade pode ser o instante em que a proteção se perde.

O SPAKE impede que um atacante ativo, fingindo ser o KDC, use a troca para conferir palpites offline. O atacante ainda pode induzir a queda para o timestamp cifrado. Se uma senha errada causou a falha e depois seguiu pelo mecanismo antigo, a captura permite testar esse valor sem novo contato com o KDC. Um erro de digitação costuma preservar boa parte do padrão correto.

Não é uma contradição do algoritmo. A rota executada mudou o alcance da garantia.

A oferta não é o recibo final

A IANA registra PA-SPAKE como tipo 151. O KDC anuncia suporte, o cliente lista grupos e o KDC escolhe um. Essas etapas provam negociação, não uma chave compartilhada confirmada.

Mensagens iniciais carregam texto ainda não autenticado. Sem FAST, a lista de fatores fica visível e só ganha integridade após a resposta ser verificada. PA-SPAKE-HINT não entra no transcript nem substitui o fluxo.

A conclusão ocorre quando o KDC decifra a resposta, valida os fatores e ambos fortalecem a reply key com K'[0]. Não há uma última confirmação PA-SPAKE; a resposta cifrada do KDC continua responsável pela autenticação do KDC.

O fallback decide a exposição real

O RFC recomenda opção por realm para desligar o timestamp cifrado. Logo, “suporta SPAKE” é uma métrica insuficiente. A frota pode anunciar o protocolo e manter o ataque antigo na lógica de recuperação.

Ataques online permanecem possíveis; o KDC observa falhas e pode limitar a taxa. Medir apenas handshakes SPAKE corretos exclui justamente as degradações, tentativas e decisões de limite que importam.

Autenticar não é autorizar

O sucesso comprova conhecimento da reply key inicial e os fatores efetivamente validados. SF-NONE significa ausência de segundo fator, portanto SPAKE não é sinônimo de MFA.

Ainda restam a resposta do KDC, o ticket de serviço, a apresentação desse ticket e a política do aplicativo. Vincular a requisição Kerberos ao transcript não concede função no sistema nem comprova entrega do recurso.

Também contam a validação de pontos, escalares uniformes e nunca reutilizados, constantes adequadas e execução sem vazamento temporal. PA-FX-COOKIE precisa de sigilo, integridade, prazo e vínculo ao principal. O documento não promete forward secrecy geral.

Fontes