パスワード認証による鍵合意

暗号化において、パスワード認証キー合意(PAK) 方式は、2 つ以上の当事者が 1 つ以上の当事者のパスワードの知識に基づいて暗号化キーを確立するための対話型の方法です。

重要な特性は、盗聴者や中間者が、各（数回の）推測ごとに当事者とのさらなるやり取りなしに、ブルートフォースでパスワードを推測できる十分な情報を取得できないことです。これは、弱いパスワードを使用して強力なセキュリティを実現できることを意味します。^{[引用が必要]}

パスワード認証による鍵合意には、一般的に次のような方法が含まれます。

• バランスのとれたパスワード認証鍵交換
• 拡張パスワード認証鍵交換
• パスワード認証によるキー取得
• マルチサーバー方式
• 複数当事者による方法

最も厳格なパスワードのみのセキュリティ モデルでは、メソッドのユーザーがパスワード以外の 秘密データや公開データを記憶する必要はありません。

パスワード認証鍵交換(PAKE) は、2 人以上の当事者が共有パスワードの知識のみに基づいて^[1]メッセージの交換を使用して暗号鍵を確立する方法です。これにより、権限のない当事者 (通信チャネルを制御しているがパスワードを所有していない人) は方法に参加できず、パスワードを推測するブルートフォース攻撃が可能な限り制限されます。 (最適なケースでは、実行された交換ごとに正確に 1 つの推測が生成されます。) PAKE には、バランスのとれた方法と拡張された方法の 2 つの形式があります。^[1]

バランスPAKEは、クライアント対クライアントまたはクライアント対サーバーのいずれかの状況において、2つの当事者が同じ秘密パスワードを使用して共有キーをネゴシエートおよび認証することを前提としています。^[1]これらの例は次のとおりです。

• 暗号化キー交換(EKE)
• PAKとPPK ^[2]
• SPEKE (シンプルなパスワード指数鍵交換)
• 楕円曲線ベースのセキュアリモートパスワードプロトコル（EC-SRPまたはSRP5）^[3]無料のJavaカード実装があります。^[4]
• トンボ – IEEE 標準 802.11-2012、RFC 5931、RFC 6617
• CPace ^[5]
• SPAKE1 ^[6]と SPAKE2 ^[7]
• セスパケ^[8]
• J-PAKE (ジャグリングによるパスワード認証鍵交換) – ISO/IEC 11770-4 (2017)、RFC 8236
• ITU-T勧告X.1035
• 「鍵合意とオプションの認証のための高度なモジュラーハンドシェイク」^[9]

拡張PAKE は、サーバーがパスワードに相当するデータを保存しないクライアント/サーバー シナリオに適用できるバリエーションです。つまり、サーバーのデータを盗んだ攻撃者は、最初にパスワードのブルート フォース検索を実行しない限り、クライアントになりすますことはできません。拡張 PAKE システムの中には、ユーザーの秘密のパスワードとサーバーの秘密のソルト値を混合する無意識の擬似乱数関数を使用するものもあり、ユーザーはサーバーの秘密のソルト値を知ることはなく、サーバーはユーザーのパスワード (またはパスワードに相当する値) や最終キーを知ることはありません。^[10]

例:

• AMP
• 拡張EKE
• B-スピーク
• PAK-X ^[2]
• SRP ^[a]
• オーガストパケ^[12]
• 不透明^{[13] [14]}
• オーシーペイス^[15]
• SPAKE2+ ^[16]
• 「鍵合意とオプションの認証のための高度なモジュラーハンドシェイク」^[9]

パスワード認証によるキー取得は、Ford 方式や Kaliski 方式など、パスワードに関連付けられたデータを知っているサーバーとのパスワードベースのネゴシエーションでクライアントが静的キーを取得するプロセスです。最も厳格な設定では、一方の当事者がパスワードのみを使用してN 台(2 台以上) のサーバーと連携し、静的キーを取得します。これは、 N  − 1 台のサーバーが完全に侵害された 場合でもパスワード (およびキー) を保護する方法で実行されます。

最初の成功したパスワード認証鍵合意方法は、1992 年にSteven M. Bellovinと Michael Merrittによって説明された暗号化鍵交換方法でした。最初の方法のいくつかには欠陥がありましたが、生き残った EKE の拡張形式は、共有パスワードを共有鍵に効果的に増幅し、暗号化やメッセージ認証に使用できるようになりました。最初の証明可能な安全性を持つ PAKE プロトコルは、M. Bellare、D. Pointcheval、P. Rogaway (Eurocrypt 2000) と V. Boyko、P. MacKenzie、S. Patel (Eurocrypt 2000) による研究で発表されました。これらのプロトコルは、いわゆるランダム オラクル モデル(またはさらに強力なバリアント) で安全であることが証明されており、標準的な仮定の下で安全であることが証明された最初のプロトコルは、妥当性の証明として機能するが効率的ではない O. Goldreich と Y. Lindell (Crypto 2001) と、実用的な J. Katz、R. Ostrovsky、および M. Yung (Eurocrypt 2001) のプロトコルでした。

最初のパスワード認証キー取得方法は、2000 年に Ford と Kaliski によって説明されました。

M. Bellare、D. Pointcheval、および P. Rogaway による研究で、多数の代替の安全な PAKE プロトコルが発表され、そのバリエーションやセキュリティ証明が、このパスワード認証キー合意方式の拡大するクラスで提案されてきました。これらの方式の現在の標準には、IETF RFC 2945、RFC 5054、RFC 5931、RFC 5998、RFC 6124、RFC 6617、RFC 6628、および RFC 6631、IEEE Std 1363.2-2008、ITU-T X.1035 、および ISO-IEC 11770-4:2006 があります。

インターネットエンジニアリングタスクフォースIETFの要請により、IRTF暗号フォーラム研究グループ（CFRG）は2018年と2019年にPAKE選定プロセスを実施しました。選定プロセスは複数のラウンドで実施されました。^[17] 2019年の最終ラウンドでは、AuCPace、OPAQUE（拡張ケース）、CPace、SPAKE2（バランスPAKE）の4つのファイナリストが優勝しました。CFRG選定プロセスの結果、2つの優勝プロトコルが「IETFプロトコルでの使用にCFRGが推奨」すると宣言されました：CPaceとOPAQUE。^[18]

• 暗号化プロトコル
• IEEE P1363
• 同等者の同時認証
• 暗号の概要
• ゼロ知識パスワード証明

• Bellare, M.; D. Pointcheval ; P. Rogaway (2000)。「辞書攻撃に対する認証鍵交換の安全性」。暗号学の進歩 — EUROCRYPT 2000。コンピュータサイエンスの講義ノート。第 1807 巻。Springer-Verlag。pp. 139–155。doi :10.1007/3-540-45539-6_11。ISBN 978-3-540-67517-4。
• Bellovin, SM; M. Merritt ( 1992年 5 月)。「暗号化キー交換: 辞書攻撃に対して安全なパスワードベースのプロトコル」。1992 IEEE コンピュータ ソサエティ セキュリティとプライバシーの研究に関するシンポジウムの議事録。オークランド。pp. 72–84。doi :10.1109/ RISP.1992.213269。ISBN 978-0-8186-2825-2.S2CID 16063466  。{{cite book}}: CS1 メンテナンス: 場所が見つかりません 発行者 (リンク)
• Ford, W.; B. Kaliski (2000 年 6 月 14 ～ 16 日)。「サーバー支援によるパスワードからの強力なシークレットの生成」。IEEE第 9 回国際ワークショップ「イネーブリング テクノロジー: 共同企業体のためのインフラストラクチャ」(WET ICE 2000) の議事録。メリーランド州ゲイサーズバーグ: NIST。pp. 176 ～ 180。CiteSeerX 10.1.1.17.9502。doi :  10.1109 / ENABL.2000.883724。ISBN 978-0-7695-0798-9. S2CID  1977743。
• Goldreich, O.; Y. Lindell (2001)。「人間のパスワードのみを使用したセッションキー生成」。暗号学の進歩 - CRYPTO 2001。コンピュータサイエンスの講義ノート。第 2139 巻。Springer-Verlag。pp. 408–432。doi : 10.1007 / 3-540-44647-8_24。ISBN 978-3-540-42456-7。
• IEEE Std 1363.2-2008: パスワードベースの公開鍵暗号化技術に関する IEEE 標準仕様。IEEE。2009 年。ISBN 978-0-7381-5806-8. OCLC  319883358.
• Katz, J.、R. Ostrovsky、M. Yung (2001)。「人間が記憶できるパスワードを使用した効率的なパスワード認証キー交換」(PDF)。国際暗号研究協会。Springer-Vergal。
• Wu, T. (2000 年 9 月)。「SRP 認証および鍵交換システム」。RFCエディター。doi : 10.17487 /rfc2945。RFC 2945。 
• Taylor, D.; Wu , T.; Mavrogiannopoulos , N.; Perrin, T. (2007 年 11 月)。「TLS認証にセキュア リモート パスワード (SRP) プロトコルを使用する」。RFCエディター。doi : 10.17487/rfc5054。RFC 5054。 
• Harkins, D.; Zorn, G. (2010年8 月)。「パスワードのみを使用した拡張認証プロトコル (EAP) 認証」。RFCエディター。doi :10.17487/ rfc5931。RFC 5931。 
• Sheffer, Y.; Zorn, G.; Tschofenig, H.; Fluhrer , S. ( 2011 年 2 月)。「暗号化キー交換 (EKE) プロトコルに基づく EAP 認証方法」。RFCエディター。doi :10.17487/rfc6124。RFC 6124。 
• Harkins, D. (2012 年 6 月)。「インターネット キー交換プロトコル (IKE)のセキュアな事前共有キー (PSK) 認証」。RFCエディター。doi : 10.17487/rfc6617。RFC 6617。 
• ISO/IEC 11770-4:2006 情報技術 - セキュリティ技術 - 鍵管理 - パート 4: 弱い秘密に基づくメカニズム。
• IEEE Std 802.11-2012: IEEE 情報技術標準 - パート 11 ワイヤレス LAN メディア アクセス制御 (MAC) および物理層 (PHY)仕様。IEEE。2012。ISBN 978-0-7381-8469-2. OCLC  1017978449.
• Jarecki, Stanislaw; Krawczyk, Hugo; Xu, Jiayu (2018)。「OPAQUE: 事前計算攻撃に対して安全な非対称 PAKE プロトコル」。暗号学の進歩 - EUROCRYPT 2018 (PDF) 。コンピュータサイエンスの講義ノート。第 10822 巻。pp . 456–486。doi :10.1007 / 978-3-319-78372-7_15。ISBN 978-3-319-78371-0. S2CID  4046378。
• Smyshlyaev, Stanislav; Oshkin, Igor; Alekseev, Evgeniy; Ahmetzyanova, Liliya (2015)。「単一パスワード認証鍵交換プロトコルのセキュリティについて」(PDF)。Cryptology ePrint Archive (レポート 2015/1237)。

• IEEE P1363 ワーキンググループ
• IEEE Std 1363.2-2008: パスワードベースの公開鍵暗号化技術に関する IEEE 標準仕様
• パスワードベースの暗号化に関する David Jablon のリンク
• シンプルなパスワードベースの暗号化キー交換プロトコル Abdalla et al 2005
• 複雑なパスワードの手動および対話型交換