Definition og grundidé

Perfekt forward secrecy (PFS) er en sikkerhedsegenskab i krypteret kommunikation, hvor nøgler er designet til at være adskilt pr. session. Pointen er, at hvis én nøgle eller et nøglemateriale senere bliver kompromitteret, så bliver tidligere indfanget trafik ikke automatisk dekrypterbar.

Det står ofte i kontrast til løsninger, hvor den samme type nøgle (eller nøglemateriale) kan have længere levetid. I et sådan scenarie kan et senere nøglebrud gøre det lettere at læse tidligere optagelser. Med PFS mindskes den “bagudrettede” effekt.

Et simpelt modelbillede

Forestil dig to borgere, der hver gang de taler, bruger et nyt “låsekort” til den konkrete samtale. Det er ikke nok, at de har et fælles låsekort i lang tid; det vigtige er, at låsekortet til den enkelte samtale ikke kan genbruges på en måde, der gør gamle samtaler sårbare, hvis noget bliver afsløret senere.

PFS læner sig typisk op ad idéen om:

  • Nøgler til en session genereres for den session og holdes adskilt.
  • Kompromis af nøglemateriale fra én session giver ikke automatisk adgang til andre sessioners indhold.

Bemærk dog: “perfekt” er et teknisk begreb, og i praksis afhænger effekten af den konkrete protokol og dens implementering. Derfor bør man vurdere PFS som en egenskab, der kun er så stærk som den måde den faktisk forhandles og håndhæves på.

Hvor PFS passer ind i online sikkerhed

PFS er relevant, fordi mange trusler handler om tidspunktet: hvad hvis en angriber senere får adgang til noget, der tidligere var beskyttet?

PFS adresserer især scenarier med “optag og dekrypt senere”, hvor:

  • En forbindelse kan blive optaget i dag.
  • En nøgle eller relateret materiale kan blive kompromitteret senere.
  • Uden PFS kan optaget trafik i visse tilfælde blive mere læsbar.

Med PFS forsøger man at begrænse sammenhængen mellem det, der var beskyttet dengang, og det, der kan blive kompromitteret senere.

Det er samtidig vigtigt at holde forventningerne realistiske: PFS hjælper primært med kryptografisk “bagudbeskyttelse”. Andre dele af sikkerheden—fx selve klientens sikkerhed, korrekt serveridentitet, beskyttelse mod malware og sikre konfigurationsvalg—kan stadig være afgørende.

Forskelle, begrænsninger og undtagelser

Selv om PFS ofte beskrives som et styrkebidrag, er der centrale afgrænsninger:

  1. PFS vs. “forward secrecy” Der findes begreber, der lyder ens, men ikke nødvendigvis giver samme sikkerhedsniveau. “Perfekt forward secrecy” betoner typisk en stærkere garanti knyttet til sessionens nøgleadskillelse. I praksis kan implementeringer og protokollens valg gøre forskellen mellem “godt nok” og “perfekt” afhængigt af, hvordan egenskaben reelt opnås.

  2. Konfiguration betyder noget PFS er ikke automatisk til stede i alle forbindelser. Om PFS faktisk opnås afhænger af protokollen og de forhandlede parametre. Hvis en forbindelse ender med en nøgleopsætning uden de relevante egenskaber, får man ikke samme beskyttelse.

  3. Ikke alt sikkerhedsarbejde bliver erstattet PFS fjerner ikke behovet for andre sikkerhedsvalg. Risikoen kan stadig komme fra fx:

  • Fejl i software eller endepunkter
  • Fejlkonfigurationer
  • Angreb der går uden om kryptering (fx ved at kompromittere brugeren)
  • Manglende verifikation af, hvem man kommunikerer med

Derfor er PFS en nyttig “del af puslespillet”, men ikke en universel sikkerhedsløsning.

Praktisk brug: hvad kan du kontrollere?

Hvis du vil vurdere PFS-beskyttelse i en konkret situation, kan du fokusere på kontroller, der handler om selve nøgleforhandlingen og den konkrete session:

  • Se efter, om den aktuelle forbindelsesopsætning bruger en nøgleforhandling, der er kendt for forward secrecy-egenskaber.
  • Vurder om der findes konfigurationsvalg, der kan deaktivere PFS, fx hvis systemet falder tilbage til ældre eller mindre sikre nøglemekanismer.
  • Hold dig for øje, at “PFS” kun er meningsfuldt, hvis den reelt bliver forhandlet og håndhævet i den forbindelse, du bruger.

Hvis du skal forklare det til andre, kan du bruge den korte tommelfingerregel: PFS reducerer risikoen for, at en senere nøglekompromittering gør tidligere sessioner dekrypterbare—men kun hvis egenskaben faktisk er til stede i den pågældende forbindelse.

Hvis du ønsker at gøre vurderingen mere konkret for din kontekst, kan du give oplysninger om protokol og opsætning (uden at jeg skal anbefale bestemte produkter), så kan vi nuance, hvilken type “forward secrecy” der typisk er tale om, og hvilke begrænsninger der gælder.