Summary

  • 11 月 2 日提交的 EAP-PQPAKE 个人互联网草案提出混合抗量子密码认证方法，拟用于 EAP；它的预期状态是 Experimental，尚无 IETF 正式标准地位。
  • 草案的 Start 交换没有加密。若不在受保护隧道内运行，旁观者可看到终端与服务器身份；仅把外层 EAP 身份写成匿名，遮不住这里的名字。
  • 服务器保存完整验证材料。草案明确，整套材料泄露可支持离线猜密码和向终端冒充服务器；受影响凭据需要重新配置。

第一条消息先交出了名片

量子计算还在未来，第一条报文却在现在。EAP-PQPAKE 把 CPaceOQUAKE+ 的混合密码交换装进 EAP，试图保护录下来的认证会话及其导出的密钥。草案把密码确认、交换顺序和配置协商写得很细，到了身份保护一节则直说：Start 消息不加密。终端和服务器的身份可以被被动观察者读到。

这不是抽象的“隐私风险”。网络运营者若要隐藏这些身份，就要让整个方法跑在受保护的隧道里。外层用了匿名 EAP 身份也不够，因为草案在 Start 中再次放入注册所用的身份。密钥的保密性与谁在门口报到，是两笔账。

另一笔账在服务器机房。注册时，服务器保留 (v, pk, kem_blind)、盐值、配置和双方注册身份；它不得保存由密码导出的 seed 或相应的 KEM 私钥。注册通道必须认证服务器并保护验证材料的机密性和完整性。若完整验证材料被拿走，攻击者可离线猜密码，还可向终端冒充服务器；仅凭这份材料，尚不能直接冒充终端。草案要求重配受影响凭据。

对在线猜测，草案另要求服务器限速或采取等效措施。内存密集型密码拉伸处理的是材料泄露后的离线成本，挡不住无限次在线试登录。这些责任落在具体部署和运维上，不会随着“抗量子”四个字自动交付。

这仍是一份个人实验性草案，底层算法也在草案阶段；文中没有实际部署、入侵案例或采用率。眼下可以核实的变化是设计边界被公开摆上桌面：保护会话密钥的人，还得决定谁看得见姓名、谁保管验证材料。

原始资料