Función pseudoaleatoria ajena

La mayoría de los métodos de derivación de claves basados ​​en contraseñas presentan el inconveniente de que las contraseñas suelen contener una pequeña cantidad de aleatoriedad (o entropía) en comparación con las claves de cifrado completas de 128 o 256 bits. Esto hace que las claves derivadas de contraseñas sean vulnerables a ataques de fuerza bruta .

Sin embargo, esta amenaza puede mitigarse utilizando la salida de un OPRF que tome la contraseña como entrada.

Si la clave secreta utilizada en el OPRF es de alta entropía, entonces la salida del OPRF también será de alta entropía. Esto resuelve el problema de que la contraseña sea de baja entropía y, por lo tanto, vulnerable a ser descifrada por fuerza bruta .

Esta técnica se llama endurecimiento de contraseñas . ^{[ 6 ]} Cumple un propósito similar al del estiramiento de claves , pero el endurecimiento de contraseñas agrega significativamente más entropía.

Además, dado que cada intento de adivinar una contraseña protegida de esta manera requiere la interacción con un servidor, se evita un ataque sin conexión y, por lo tanto, se permite que el usuario o el administrador del sistema reciban una alerta ante cualquier intento de descifrar la contraseña.

La clave recuperada puede utilizarse para la autenticación (por ejemplo, realizando una autenticación basada en PKI mediante un certificado digital y una clave privada ), o puede utilizarse para descifrar contenido confidencial, como un archivo cifrado o una cartera de criptomonedas .

Una contraseña puede utilizarse como base de un protocolo de intercambio de claves para establecer claves de sesión temporales y autenticar mutuamente al cliente y al servidor. Esto se conoce como intercambio de claves autenticado por contraseña o PAKE .

En la autenticación básica , el servidor obtiene la contraseña del usuario durante el proceso de autenticación. Si el servidor se ve comprometido, la contraseña del usuario queda expuesta, lo que compromete su seguridad.

Sin embargo, con PAKE, la contraseña del usuario no se envía al servidor, lo que impide que caiga en manos de un intruso. Puede considerarse una autenticación mediante una prueba de contraseña de conocimiento cero .

Diversas variantes de PAKE incorporan una función pseudoaleatoria que oculta la contraseña del usuario, de modo que el servidor nunca la ve durante la autenticación, pero aun así puede verificar que el cliente posee la contraseña correcta. Esto se logra asumiendo que solo el cliente que conoce la contraseña correcta puede usar la función pseudoaleatoria para derivar la clave.

Un ejemplo de un PAKE aumentado que utiliza un OPRF de esta manera es OPAQUE . ^{[ 7 ] [ 8 ] [ 9 ] [ 10 ]}

Recientemente, se han aplicado OPRF al intercambio de claves basado en contraseñas para respaldar los historiales de chat cifrados en WhatsApp ^{[ 11 ]} y Facebook Messenger . ^{[ 12 ]} Se planea agregar un caso de uso similar en Signal Messenger . ^{[ 13 ]}

Un CAPTCHA o " Prueba de Turing pública completamente automatizada para distinguir entre ordenadores y humanos" ^{[ 14 ]} es un mecanismo para impedir que los robots automatizados (o bots ) accedan a sitios web. Últimamente, los mecanismos para ejecutar pruebas CAPTCHA se han centralizado en servicios como Google y CloudFlare , pero esto puede ir en detrimento de la privacidad del usuario.

Recientemente, CloudFlare desarrolló una tecnología de preservación de la privacidad llamada "Privacy Pass". ^{[ 15 ]} Esta tecnología se basa en OPRF y permite que el navegador del cliente obtenga pases de CloudFlare y los presente para eludir las pruebas CAPTCHA. Dado que el servicio de CloudFlare desconoce qué pases se proporcionaron a cada usuario, no puede correlacionar a los usuarios con los sitios web que visitan. Esto evita el seguimiento del usuario y, por lo tanto, preserva su privacidad.

Un gestor de contraseñas es un software o servicio que almacena potencialmente muchas credenciales de cuenta diferentes en nombre del usuario. Por lo tanto, el acceso al gestor de contraseñas es altamente sensible: un ataque podría exponer muchas credenciales al atacante.

La primera propuesta de un gestor de contraseñas basado en OPRF fue SPHINX. ^{[ 16 ]} Este utiliza dos dispositivos (como el portátil y el teléfono del usuario) que colaboran para calcular una contraseña para una cuenta determinada (identificada por el nombre de usuario y el dominio del sitio web). Dado que los dos dispositivos del usuario intercambian valores según un protocolo OPRF, interceptar la conexión entre ellos no revela nada sobre la contraseña ni los valores internos que cada dispositivo utilizó para calcularla. El hecho de que se requieran dos dispositivos para calcular cualquier contraseña también garantiza que la vulneración de cualquiera de ellos impida al atacante calcular ninguna contraseña. Una desventaja de este enfoque es que el usuario siempre necesita acceso a ambos dispositivos cuando desea iniciar sesión en cualquiera de sus cuentas.

Un OPRF es utilizado por el Monitor de contraseñas en Microsoft Edge para permitir consultar a un servidor si se sabe que una credencial (que el usuario guardó en el navegador) está comprometida, sin necesidad de revelar esta credencial al servidor. ^{[ 17 ]}

De forma similar a como se protegen las contraseñas gestionadas por un gestor de contraseñas, un OPRF puede utilizarse para mejorar la seguridad de un sistema de gestión de claves .

Por ejemplo, un OPRF permite que un sistema de gestión de claves emita claves criptográficas a usuarios autenticados y autorizados, sin ver, aprender ni estar en posición de aprender ninguna de las claves que proporciona a los usuarios. ^{[ 18 ]}

La intersección de conjuntos privados es una técnica criptográfica que permite a dos o más partes comparar sus conjuntos privados para determinar qué entradas comparten en común, pero sin revelar ninguna entrada que no posean en común.

Por ejemplo, dos usuarios de una red social podrían usar la intersección de conjuntos privados para determinar qué amigos tienen en común, sin revelar la identidad de los amigos que no comparten. Para ello, podrían compartir los resultados de un OPRF aplicado a la identidad del amigo (por ejemplo, su número de teléfono o dirección de correo electrónico).

La salida del OPRF no se puede invertir para determinar la identidad del usuario, y dado que el OPRF puede tener un límite de velocidad , evitará un ataque de fuerza bruta (por ejemplo, iterar sobre todos los números de teléfono posibles). ^{[ 19 ]}

Las curvas elípticas y los campos de orden primo pueden utilizarse para implementar un OPRF. La idea fundamental es que la primera parte (el cliente) debe cifrar criptográficamente la entrada antes de enviarla a la segunda parte.

Este enmascaramiento puede considerarse una forma de cifrado que perdura tras el cálculo realizado por la segunda parte. Por lo tanto, la primera parte puede descifrar lo que recibe de la segunda para "desenmascararlo" y, de este modo, obtener el mismo resultado que habría obtenido si la entrada no hubiera estado enmascarada.

Cuando la segunda parte recibe la información oculta, realiza un cálculo utilizando un secreto . El resultado de este cálculo no debe revelar el secreto.

Por ejemplo, la segunda parte puede realizar una multiplicación de puntos de un punto en una curva elíptica. O puede realizar una exponenciación modular módulo un primo grande .

La primera parte, al recibir el resultado y conociendo el factor de enmascaramiento, calcula una función que elimina la influencia de dicho factor sobre el resultado devuelto por la segunda parte. Esto "desenmascara" el resultado, revelando la salida del OPRF (o un resultado intermedio que el cliente utiliza posteriormente para calcular la salida del OPRF, por ejemplo, mediante el hash de este resultado intermedio).

byte [] computeOPRF ( byte [] input ) { // Aplicar algoritmo de hash de puntos // Por ejemplo, como se describe en RFC 9380 ECPoint hashedPoint = hashToPoint ( input );// Generar un factor de ceguera aleatorio Escalar b = randomScalar ();// Enmascarar la entrada mediante una multiplicación de curvas ECPoint blindedInput = ECMultiply ( hasshedPoint , b );// Enviar solicitud al servidor para obtener respuesta ECPoint serverResponse = sendRequest ( blindedInput );// Calcular el inverso multiplicativo de b Inverso escalar = modInverso ( b );// Descifrar la respuesta para producir el resultado ECPoint result = ECMultiply ( serverResponse , inverse );// Calcula el hash del resultado sin enmascarar para completar el cálculo de OPRF. Devuelve hash ( resultado ); }

ECPoint processRequest ( ECPoint blindedInput , Scalar secret ) { // Aplicar el secreto para calcular la respuesta ECPoint response = ECMultiply ( blindedInput , secret ); return response ; }

Cuando el resultado de un esquema de firma ciega es determinista, puede utilizarse como base para construir un OPRF, por ejemplo, simplemente aplicando una función hash a la firma resultante.

Esto se debe a que, debido al enmascaramiento, la parte que calcula la firma ciega no conoce ni la entrada (lo que se está firmando) ni la salida (la firma digital resultante ).

Muchas aplicaciones requieren que la primera parte pueda verificar que el resultado de OPRF se haya calculado correctamente. Por ejemplo, al usar dicho resultado como clave para cifrar datos. Si se calcula un valor incorrecto, esos datos cifrados podrían perderse para siempre.

Afortunadamente, la mayoría de los OPRF admiten la verificabilidad. Por ejemplo, al usar firmas ciegas RSA como base, el cliente puede, con la clave pública, verificar la corrección de la firma digital resultante .

Al utilizar OPRF basados ​​en curvas elípticas o Diffie-Hellman , conociendo la clave pública y = g ^x es posible utilizar una segunda solicitud al servidor OPRF para crear una prueba de corrección de conocimiento cero para el resultado anterior. ^{[ 20 ] [ 21 ]}

Una modificación de un OPRF se denomina PRF parcialmente inconsciente, o P-OPRF.

En concreto, una P-OPRF es cualquier función con las siguientes propiedades:

• Las partes calculan: O = POPRF( H , E , S )
• La primera parte ( el cliente ) conoce la entrada oculta ( H ) y la entrada expuesta ( E ), y aprende la salida ( O ), pero no aprende el secreto ( S ).
• La segunda parte ( el servidor ) conoce el secreto ( S ) y aprende la entrada expuesta ( E ), pero no aprende ni la entrada oculta ( H ) ni la salida ( O ).

El caso de uso para esto es cuando el servidor necesita implementar controles de acceso o limitación específicos en la entrada expuesta ( E ), por ejemplo, ( E ) podría ser una ruta de archivo o un nombre de usuario, para el cual el servidor aplica controles de acceso y solo atiende solicitudes cuando el usuario solicitante está autorizado.

El "Servicio PRF Pythia" utilizó un P-OPRF basado en emparejamientos bilineales . ^{[ 22 ]}

Recientemente, han aparecido versiones de P-OPRF que no se basan en emparejamientos, como una versión estandarizada en el IETF RFC 9497, ^{[ 21 ]} así como en su mejora más reciente. ^{[ 23 ]}

Para una seguridad aún mayor, es posible "establecer un umbral" en el servidor , de modo que el secreto ( S ) no esté en poder de ningún servidor individual, y así la vulneración de cualquier servidor individual, o de un conjunto de servidores cuyo número sea inferior a un umbral definido, no expondrá el secreto.

Esto se puede lograr haciendo que cada servidor sea accionista en un esquema de compartición de secretos . En lugar de usar su secreto para calcular el resultado, cada servidor usa su parte del secreto para realizar el cálculo.

El cliente toma entonces un subconjunto de los resultados calculados por el servidor y los combina, por ejemplo, mediante un protocolo conocido como interpolación en el exponente . Esto permite obtener el mismo resultado que si el cliente hubiera interactuado con un único servidor que posee la clave secreta completa.

Este algoritmo se utiliza en varios protocolos criptográficos distribuidos. ^{[ 24 ]}

Encontrar implementaciones seguras y post-cuánticas eficientes de OPRF es un área de investigación activa. ^{[ 25 ]}

"Con la excepción de los OPRF basados ​​en primitivas simétricas, todas las construcciones de OPRF eficientes conocidas se basan en supuestos de dureza de tipo logaritmo discreto o factorización. Se sabe que estos supuestos caen con el auge de las computadoras cuánticas." ^{[ 1 ]}

Dos posibles excepciones son los OPRF basados ​​en retículos ^{[ 26 ]} y los OPRF basados ​​en isogenias ^{[ 27 ] , pero se requiere más investigación para mejorar su eficiencia y establecer su seguridad. Los recientes ataques a las isogenias generan dudas sobre la seguridad del algoritmo [ 28 ]} .

Un enfoque más seguro, pero menos eficiente, para lograr un OPRF post-cuántico seguro es utilizar un protocolo de computación seguro de dos partes para calcular un PRF utilizando una construcción de clave simétrica , como AES o HMAC .