Brontekst bekijken van Perfect forward secrecy

'''(Perfect) forward secrecy''' (of '''PFS''') is in de [[cryptografie]] een eigenschap die ervoor zorgt dat in het geval een bepaalde [[Sleutel (cryptografie)|sleutel]] uit een [[communicatiekanaal]] gecompromitteerd wordt, dat hiermee hooguit de sleutel voor een sessie wordt gecompromitteerd. Uit de gecompromitteerde sleutel kunnen niet de sleutels afgeleid worden die in voorgaande sessies zijn gebruikt. Hierdoor zijn de voorgaande [[bericht]]en ook niet af te leiden. Doordat sessies kort duren en er een beperkte hoeveelheid informatie wordt gecommuniceerd wordt hiermee de impact van een gecompromitteerde sleutel aanzienlijk verlaagd.

Een sleutel zou bijvoorbeeld gecompromitteerd kunnen worden door een kwetsbaarheid in een implementatie ([[Heartbleed]]), een [[algoritme]] of sleutelwaarde welke op een moment in de toekomst niet meer veilig is, een rechter die beveelt een sleutel af te staan of doordat een aanvaller in de computer inbreekt.

Met PFS wordt voorkomen dat wanneer de versleutelde sessies in een communicatiekanaal door een aanvaller zijn opgeslagen deze op een later moment, nadat de aanvaller beschikking heeft gekregen over de sleutel, alsnog de sessies kan ontsleutelen en de informatie kan lezen.

==Geschiedenis==
''PFS'' werd als eerste geïntroduceerd<ref>W. Diffie, P.C. van Oorschot & M. Wiener. Authentication and Authenticated Key Exchanges. Designs Codes and Cryptography, 2, 107-125, 1992.</ref> door [[:en:Whitfield_Diffie|Diffie]], [[:en:Paul_van_Oorschot|Van Oorschot]] en [[Michael Wiener|Wiener]] [https://archive.org/details/handbookofapplie0000mene], en werd gebruikt om een eigenschap van het [[Station-to-Station protocol]] (STS) te beschrijven, waarbij de langetermijngeheimen private keys zijn.

''PFS'' is ook gebruikt<ref>D. Jablon. Strong Password-Only Authenticated Key Exchange. Computer Communication Review, ACM SIGCOMM, vol. 26, no. 5, p. 5-26, oktober 1996.</ref> om de analoge eigenschap van [[wachtwoord geauthentiseerde sleutel overeenkomst]] protocollen te beschrijven, waarbij het langetermijngeheim een gedeeld [[wachtwoord]] is.

Annex D.5.1 van IEEE 1363-2000 bediscussieert de aan elkaar gerelateerde '''eenpartij-''' en '''tweepartijen-forwardsecrecy'''-eigenschappen van diverse standaardsleutelovereenkomstschema's.

==Forward secrecy van een session key==
[[Alice en Bob]] zijn met elkaar de session key <math>k</math> overeengekomen. Nu willen ze graag forward secrecy over de door hen verstuurde berichten. Ze kiezen ervoor om voor het eerste bericht sleutel k te gebruiken, voor het 2<sup>e</sup> bericht <math>h(k)</math>, voor het n<sup>e</sup> bericht <math>h^n(k)</math>. <math>h</math> is een hash-functie die aan de volgende eisen voldoet:

'''One-wayness:''' Indien <math>k</math> uit te rekenen is uit een gegeven <math>h(k)</math>, is het hele systeem onveilig. Alle voorgaande sleutels kunnen dan gewoon uitgerekend worden.

'''Collision resistance:''' Je wilt dat er telkens weer unieke nieuwe sleutels uit de hash-functie komen, indien <math>h^x(k) = h^{x+n}(k)</math> blijft de reeks sleutels zich steeds herhalen, je kan dan met <math>h^{x+n+k}(k)</math> behalve bericht <math>x + n + k</math> ook <math>x + k</math> ontsleutelen.

Op deze manier zal de hash-functie telkens een nieuwe sleutel opleveren, vanuit een nieuwe sleutel is de oude niet te berekenen.

Daarnaast is het van belang dat ze de oude sleutel verwijderen, indien ze deze bewaren, kan een persoon die inbreekt op de computer, nog steeds alle sleutels verkrijgen.

==Protocollen==
===Transport Layer Security===
Bij [[Transport Layer Security]] (TLS) zonder PFS is de sessiesleutel, waarmee de communicatie wordt versleuteld, af te leiden uit de [[privésleutel]] van de [[server]] (die hoort bij het [[X.509|X.509 certificaat]]). Hiermee ontstaat het risico dat een aanvaller, die de door TLS versleutelde sessies heeft weten te onderscheppen en heeft bewaard en ook de private sleutel heeft weten te bemachtigen, met terugwerkende kracht alsnog de sessies kan ontsleutelen en de informatie kan lezen. Bij informatie die over langere tijd heen vertrouwelijk moet blijven is dit een dreiging. Dit wordt opgelost door middel van forward secrecy in het TLS protocol.

Reeds vanaf SSLv3, de voorloper van TLS, kan er gekozen worden voor forward secrecy, maar in het verleden weigerden veel implementaties om forward secrecy te verschaffen of ze verschaften het enkel met een zeer lage [[encryptie]].<ref>[https://web.archive.org/web/20130922103746/http://www.ietf.org/mail-archive/web/tls/current/msg02134.html <nowiki>Re: [TLS] security levels for TLS</nowiki>], ietf.org, 2007</ref>

In TLS versie 1.2 is forward secrecy in combinatie met sterke encryptie nog optioneel maar is er al wel een brede ondersteuning. Vanaf TLS versie 1.3 wordt forward secrecy zelfs afgedwongen. In TLS 1.3 wordt het [[Diffie-Hellman-sleuteluitwisselingsprotocol|Diffie Hellman]] protocol gebruikt om de sessie sleutel te bepalen. 

Deze sessie sleutel wordt ook wel een "ephemeral key" genoemd; een "vluchtige" sleutel, dit in tegenstelling tot de "statische" privésleutel die gebruikt wordt voor het certificaat waarmee de identiteit van de server wordt aangetoond tijdens de handshake fase van TLS.  

=== Signal ===
Het [[Signal (software)|Signal]] Protocol, dat gebruikt wordt door de gelijknamige messaging app, gebruikt het [[Double Ratchet]] algoritme om forward secrecy te bieden. 

===IPsec===
[[IPsec]] heeft PFS als optie, deze maakt gebruik van het OAKLEY sleuteluitwisselingsprotocol ([[Request for Comments|RFC]] 2412<ref>{{RFC|2412}}</ref>), wat op zijn beurt weer gebruikmaakt van het [[Diffie-Hellman-sleuteluitwisselingsprotocol]].

===SSH===
[[Secure Shell|SSH]]<ref>{{RFC|4251}} sectie 9.3.7</ref> maakt gebruik van [[Diffie-Hellman-sleuteluitwisselingsprotocol|Diffie-Hellman]] sleutel uitwisselingen die voor PFS zorgen. SSH-sessies die resulteren uit een Diffie-Hellman sleutel uitwisseling ([[Request for Comments|RFC]] 4253<ref>{{RFC|4253}}</ref>) zijn dus veilig, ook als een private key later wordt achterhaald. Echter niet als de sessiesleutel is achterhaald. Gegeven dit heeft SSH perfect forward secrecy.

In het geval dat Diffie-Hellmanparameters worden achterhaald kan natuurlijk ook de sessiesleutel achterhaald worden, echter behoren deze gegevens verwijderd te worden nadat de sleuteluitwisseling klaar is. Deze behoren dus niet per ongeluk op een swapschijf opgeslagen te worden.

===OpenPGP===
[[OpenPGP]] stelt gebruikers in staat, veelal via [[e-mail]], veilig te communiceren. Elke gebruiker heeft een private key en een public key die iedereen weet, deze public key is veelal voor lange termijn geldig en te vinden op een website of keyserver. Bij e-mail is het echter een stuk lastiger om forward secrecy te handhaven, aangezien hier geen sprake is van een directe verbinding tussen verzender en ontvanger.

Er bestaat echter wel een draft om PFS toe te voegen aan het protocol.<ref>[https://web.archive.org/web/20071109080141/http://www.apache-ssl.org/openpgp-pfs.txt Forward Secrecy Extensions for OpenPGP], apache-ssl.org, oktober 2001</ref> Het idee is dat er keys worden gegenereerd die slechts een beperkte levensduur hebben en deze te groeperen onder een zogenaamde long term signature (langetermijnhandtekening). Een verlopen private key dient op het moment dat de levensduur verstreken is verwijderd te worden, anders kan een aanvaller nog steeds alle berichten achterhalen. Het probleem zit er vooral in hoe dit goed, makkelijk en flexibel te beheren is in een mailclient.

===Off the Record Messaging===
[[Off-the-Record Messaging]], een [[cryptografisch protocol]] en [[Bibliotheek (informatica)|bibliotheek]] voor allerlei [[instant messaging]] clients, verschaft perfect forward secrecy evenals [[deniable encryption]]. Om PFS te bereiken wordt het [[Diffie-Hellman-sleuteluitwisselingsprotocol]] gebruikt.<ref>{{pdf}} [https://otr.cypherpunks.ca/otr-wpes.pdf Off-the-Record Communication, or, Why Not To Use PGP], cypherpunks.ca</ref>

=== WPA ===
Interessant om te vermelden is dat het meest gebruikte protocol voor het beveiligen van [[Wi-Fi]] netwerken, [[WPA2]], geen forward secrecy ondersteund. In de opvolger WPA3 wordt dit wel ondersteund. Met een marktintegratie van WPA3 van minder dan een 0,5% in juli 2023 wordt PFS echter nog maar beperkt gebruikt voor Wi-Fi.  [https://wigle.net/stats#] Door de inzet van TLS (met forward secrecy) wordt dit risico verminderd.
{{Appendix|1=alles|2=
* H. Orman. The OAKLEY Key Determination Protocol. IETF {{RFC|2412}}.
* Voorbeeld van de session key overgenomen uit opdracht 7 van het vak [https://web.archive.org/web/20080127133055/http://www.sos.cs.ru.nl/www/web-docs/teaching/security2007/ security] aan de [[Radboud Universiteit]].
{{References}}
}}

[[Categorie:Cryptografie]]