Wat is perfect forward secrecy en waarom is het belangrijk?

Perfect forward secrecy (PFS, of forward secrecy) is een beveiligingsfunctie in versleutelingssystemen die ervoor zorgt dat eerdere communicatie veilig blijft, zelfs als een geheime sleutel voor de lange termijn later in gevaar wordt gebracht.

Normaal gesproken gebruiken versleutelde systemen een geheime cryptografische sleutel die gedurende een lange periode hetzelfde blijft. Als iemand die sleutel steelt nadat de communicatie al heeft plaatsgevonden, zou diegene mogelijk eerdere opgenomen communicatie kunnen ontsleutelen.

Stel u voor dat u op afstand werkt en inlogt op het oude interne webportaal van uw bedrijf via HTTPS om onkostendeclaraties of persoonlijke loongegevens in te dienen. Het systeem gebruikt een oudere TLS-configuratie die geen ondersteuning biedt voor perfect forward secrecy.

Een aanvaller ergens op het netwerkpad (bijvoorbeeld op openbare wifi of een in gevaar gebrachte router) registreert het versleutelde verkeer. Ze kunnen het op dat moment niet lezen omdat het versleuteld is.

Maanden later heeft het bedrijf te maken met een schending en lekt de geheime encryptiesleutel voor de lange termijn van de server. Omdat het systeem geen forward secrecy gebruikte, kan de aanvaller die sleutel gebruiken om het eerder opgenomen verkeer te ontsleutelen, waardoor de gevoelige informatie die u eerder hebt ingediend, wordt blootgesteld.

Als het systeem forward secrecy had gebruikt, zou elke sessie tijdelijke encryptiesleutels hebben gebruikt die later werden weggegooid, zodat een gelekte serversleutel een aanvaller geen toegang zou hebben gegeven om die eerdere communicatie te ontsleutelen.

Perfect forward secrecy genereert nieuwe, tijdelijke sessiesleutels via kortstondige asymmetrische sleuteluitwisselingen voor elke communicatiesessie. Dit wordt meestal bereikt met behulp van kortstondige sleuteluitwisselingsprotocollen zoals Diffie–Hellman (DH) of de efficiëntere elliptische-krommetegenhanger, Elliptic Curve Diffie–Hellman (ECDH).

Elliptic Curve Diffie–Hellman heeft tegenwoordig de grote voorkeur omdat het dezelfde beveiliging biedt als traditionele Diffie–Hellman, terwijl het veel kleinere sleutelgroottes gebruikt, wat de prestaties verbetert. Traditionele Diffie–Hellman vertrouwt op grote priemgetallen, en in het verleden is er misbruik gemaakt(nieuw venster) van zwakke of hergebruikte parameterkeuzes.

Het onderstaande diagram toont een TLS-handshake met perfect forward secrecy. Zowel de client als de server genereren kortstondige sleutelparen en wisselen hun openbare sleutels uit om een gedeeld sessiegeheim af te leiden. Omdat die sleutels kortstondig zijn, blijven eerdere sessies veilig, zelfs als de sleutel voor de lange termijn van de server later in gevaar wordt gebracht.

• De meeste beveiligde websites (HTTPS), inclusief online bankieren en winkelen. HTTPS gebruikt TLS om websiteverbindingen te versleutelen, en TLS 1.3 bevat forward secrecy.
• Messaging-apps met end-to-end versleuteling, zoals Signal en WhatsApp. Ze roteren sleutels doorgaans regelmatig, soms per bericht.
• VPN(nieuw venster)-apps die moderne VPN-protocollen gebruiken, zoals WireGuard®(nieuw venster) en OpenVPN(nieuw venster) (met kortstondige Diffie–Hellman). Proton VPN ondersteunt forward secrecy(nieuw venster).
• SSH-tools voor externe toegang zoals OpenSSH (ingebouwd in macOS en de meeste Linux-systemen) en PuTTY (een Windows SSH-client).
• E-maildiensten versleutelen e-mails meestal terwijl ze tussen servers worden verzonden, vaak met behulp van TLS die forward secrecy ondersteunt, zodat buitenstaanders ze niet gemakkelijk kunnen onderscheppen. Maar de e-mailprovider zelf kan opgeslagen e-mails mogelijk nog steeds lezen, tenzij ze zijn beveiligd met versleuteling zoals PGP.