Принцип работы

Введем обозначения, необходимые для рассуждения:

• q и N = 2q + 1 выбираются так, что N и q простые. N должно быть достаточно большим, чтобы дискретное логарифмирование по модулю N было практически неосуществимо.

• Вся арифметика выполняется по модулю N (поле ).

• g — генератор мультипликативной группы 

• k — параметр, получаемый на обоих сторонах, например, k = H(N, g) в ревизии 6а (в ревизии 6 k было постоянным и равно 3).

• s — соль

• I — идентификатор пользователя в системе сервера (username).

• p — пароль пользователя, соответствующий I.

• H() — криптографическая хеш-функция, например, SHA-256

• x — секретный ключ, x = H(s, p).

• v — верификатор пароля на стороне сервера, v = g^x.

• u — произвольный параметр для кодирования.

• a,b — секретные одноразовые числа

Понятия пароля и верификатора соответствуют общепринятым понятиям секретного и открытого ключей, с двумя оговорками: пароль, как правило, меньше секретного ключа, так как его помнит пользователь, а память у него небольшого размера; в свою очередь, верификатор по математическим свойствам схож с открытым ключом, так как он легко получается из пароля, а обратная операция является вычислительно неразрешимой. Однако вместо того, чтобы быть общеизвестным, верификатор хранится сервером в тайне. Способ аутентификации, который предполагает хранение сервером верификатора, но не пароля, называется основанным на верификации(verifier-based).

Из исходных параметров вычисляются A,B (см. ниже). Сервер хранит пароли, используя следующую формулу:

• x = H(s, p) (s выбирается произвольным образом)

• v = g^x (вычисление верификатора пароля)

После этого сервер хранит пару (I, s, v) в своей базе данных. Аутентификация происходит по следующей схеме:

1. Клиент -> Сервер: I, A = g^a (идентифицируется, a — произвольное)

2. Сервер -> Клиент: s, B = kv + g^b (посылает сохраненное s, произвольное b)

На обоих сторонах: u = H(A, B) На стороне клиента:

1. x = H(s, p) (пользователь вводит пароль)

2. S = (B — kg^x)^{(a + ux)} (вычисляется ключ сессии)

3. K = H(S) (K — это искомый ключ для шифрования)

На стороне сервера:

1. S = (Av^u)^b (вычисление ключа сессии)

2. K = H(S) (K — это искомый ключ для шифрования)

Теперь обе стороны имеют общий секретный ключ K. Для завершения аутентификации, им необходимо свериться, что их ключи совпадают. Один из возможных способов:

Клиент -> Сервер: M = H(H(N) xor H(g), H(I), s, A, B, K) и проверка на стороне сервера

Сервер -> Клиент: H(A, M, K) и проверка на стороне клиента