什麼是完美前向保密？為什麼它很重要？

完美前向保密（PFS，或前向保密）是加密系統中的一項安全性功能，可確保即使長期的私有金鑰日後遭到入侵，過去的通訊仍能保持安全。

通常，已加密系統會使用在很長一段時間內保持不變的機密密碼金鑰。 如果有人在通訊發生後竊取了該金鑰，他們就有可能解密先前記錄的通訊。

想像一下，您正在遠端工作，並透過 HTTPS 登入公司的舊內部網頁入口網站，以提交費用報告或個人薪資資訊。 該系統使用不支援完美前向保密的舊版 TLS 組態。

網路路徑上某處的攻擊者（例如，在公共 WiFi 或遭入侵的路由器上）會記錄已加密的流量。 他們當時無法讀取，因為它已加密。

幾個月後，該公司遭受資料外洩，且伺服器的長期私有加密金鑰外洩。 由於系統沒有使用前向保密，攻擊者可以使用該金鑰來解密先前記錄的流量，從而暴露您先前提交的敏感資訊。

如果系統使用了前向保密，則每個工作階段都將使用隨後被捨棄的暫時加密金鑰，因此外洩的伺服器金鑰將無法讓攻擊者解密那些過去的通訊。

完美前向保密會透過為每個通訊工作階段進行的短期非對稱金鑰交換，產生新的暫時工作階段金鑰。 這通常是使用短期金鑰交換協定來實現的，例如 Diffie–Hellman (DH) 或其更高效的橢圓曲線對應方案：橢圓曲線 Diffie–Hellman (ECDH)。

橢圓曲線 Diffie–Hellman 在當今受到廣泛青睞，因為它在使用小得多的金鑰大小的同時，提供了與傳統 Diffie–Hellman 相同的安全性，從而提高了效能。 傳統的 Diffie–Hellman 依賴大質數，且過去微弱或重複使用的參數選擇曾遭到利用(新視窗)。

下圖顯示了具有完美前向保密的 TLS 握手。 用戶端和伺服器都會產生短期金鑰組，並交換其公開金鑰以衍生共享的工作階段密鑰。 因為這些金鑰是短期的，所以即使伺服器的長期金鑰日後遭到入侵，過去的工作階段仍能保持安全。

• 大多數安全網站 (HTTPS)，包括線上銀行和購物。 HTTPS 使用 TLS 來加密網站連線，而 TLS 1.3 包含了前向保密。
• 具有端對端加密的即時通訊應用程式，例如 Signal 和 WhatsApp。 它們通常會頻繁輪換金鑰，有時甚至是每條訊息輪換一次。
• 使用現代 VPN 協定的 VPN(新視窗) 應用程式，例如 WireGuard®(新視窗) 和 OpenVPN(新視窗)（具有短期 Diffie–Hellman）。 Proton VPN 支援前向保密(新視窗)。
• SSH 遠端存取工具，例如 OpenSSH（內建於 macOS 和大多數 Linux 系統中）和 PuTTY（Windows SSH 用戶端）。
• 電子郵件服務通常會在伺服器之間傳送電子郵件時對其進行加密，這通常使用支援前向保密的 TLS，因此外部人員無法輕易攔截它們。 但電子郵件提供者本身可能仍然能夠讀取已儲存的電子郵件，除非這些郵件受到例如 PGP 等加密技術的保護。