Puntos clave
- RFC 9807 especifica el protocolo PAKE aumentado OPAQUE.
- OPAQUE emplea el modo OPRF base definido por RFC 9497, no VOPRF.
- Una autenticación correcta establece una clave de sesión autenticada.
- Las contraseñas débiles y los clientes comprometidos continúan siendo riesgos.
Definición y alcance
Durante el registro, cliente y servidor crean un archivo de contraseña OPAQUE que contiene un valor relacionado con OPRF y un sobre cifrado. Al iniciar sesión, solo la contraseña correcta recupera las credenciales del cliente y completa el intercambio autenticado. [1]
Límite de seguridad
RFC 9497 define los modos OPRF, VOPRF y POPRF; OPAQUE usa el modo OPRF base. RFC 9807 describe el protocolo OPAQUE completo. Distinguir la primitiva del protocolo evita atribuir al componente garantías que pertenecen a la composición. [1][2]
Límites y evaluación
OPAQUE no rechaza una contraseña correcta reutilizada por un atacante ni elimina por completo el riesgo de prueba sin conexión tras robar un archivo de contraseñas. Siguen siendo necesarios TLS, endurecimiento, límites, MFA y recuperación segura. [1]
Preguntas frecuentes.
¿Qué significa OPAQUE PAKE?
OPAQUE es el protocolo PAKE aumentado descrito en RFC 9807. Autentica una contraseña sin enviarla al servidor como credencial reutilizable. [1]
¿Qué no garantiza OPAQUE PAKE?
OPAQUE no rechaza una contraseña correcta reutilizada por un atacante ni elimina por completo el riesgo de prueba sin conexión tras robar un archivo de contraseñas. Siguen siendo necesarios TLS, endurecimiento, límites, MFA y recuperación segura. [1]
¿Cómo interpreta SealTask OPAQUE PAKE?
SealTask usa OPAQUE para autenticar contraseñas. El material de clave de exportación disponible solo tras un acceso correcto desbloquea en el cliente una clave de datos cifrada; este envoltorio es una capa propia construida sobre OPAQUE. [3]
Fuentes primarias
Las definiciones priorizan organismos de normalización, guías públicas y la arquitectura de SealTask de primera parte. Los enlaces abren la fuente completa.
- 01 RFC 9807: The OPAQUE Augmented PAKE Protocol Fuente primaria o de primera parte para la definición, los requisitos del protocolo, el límite de seguridad o el contexto normativo.
- 02 RFC 9497: Oblivious Pseudorandom Functions Fuente primaria o de primera parte para la definición, los requisitos del protocolo, el límite de seguridad o el contexto normativo.
- 03 SealTask security architecture Fuente primaria o de primera parte para la definición, los requisitos del protocolo, el límite de seguridad o el contexto normativo.