Summary

  • Индивидуальный Internet-Draft от 2 ноября описывает EAP-PQPAKE — гибридный постквантовый способ аутентификации по паролю в EAP. Предполагаемый статус — Experimental; стандартом IETF он не стал.
  • Обмен Start не зашифрован. Без защищённого туннеля пассивный наблюдатель видит идентификаторы клиента и сервера. Анонимный внешний идентификатор EAP сам по себе их не скрывает.
  • Утечка полного серверного верификатора позволяет подбирать пароль офлайн и выдавать себя за сервер перед клиентом. Проект требует заново подготовить затронутые учётные данные.

Знакомство происходит до секретного разговора

У проекта понятная цель: запись сегодняшней аутентификации не должна стать добычей атакующего, когда у него появятся квантовые средства. Для этого авторы помещают гибридный CPaceOQUAKE+ в рамку EAP и описывают вывод ключей. Но до защищённой части идёт Start. В нём идентификаторы клиента и сервера передаются открыто. Будущую вычислительную машину ждать не требуется, чтобы узнать, кто начал сеанс.

Для оператора это вопрос настройки, а не свойство рекламного ярлыка. Если сами имена нуждаются в защите, метод целиком должен работать внутри защищённого туннеля. Запись «анонимно» во внешнем поле EAP не помогает: внутри Start используются регистрационные идентификаторы. Секретность ключа и видимость участника надо принимать отдельно.

На сервере остаётся другая уязвимая поверхность — (v, pk, kem_blind), соль, конфигурация и регистрационные идентификаторы. Производное от пароля зерно и соответствующий секретный ключ KEM хранить запрещено. При регистрации требуется удостоверить сервер и защитить материал. Если полный верификатор скопирован, возможны офлайновый перебор пароля и подмена сервера для клиента. Сам по себе такой набор ещё не позволяет выдать себя за клиента без дополнительных секретов. Затронутые данные доступа придётся подготовить заново.

Для перебора через работающий сервис проект отдельно требует ограничивать неудачные попытки или применять равнозначные меры. Ресурсоёмкая обработка пароля замедляет атаку на украденный набор; лимит живых обращений обеспечивает сервер. Смешать эти меры — значит оставить одну из дверей без сторожа.

Это индивидуальный экспериментальный проект, опирающийся на ещё разрабатываемый криптографический проект. В нём нет отчёта о внедрении, взломе или масштабе использования. Зато точно указано, что защита записи обмена не оплачивает ни приватность первого сообщения, ни хранение верификатора.

Первичные документы