Was ist „Perfect Forward Secrecy“ (PFS)?

„Perfect Forward Secrecy“ (PFS) ist eine Eigenschaft eines Schlüsselaustauschprotokolls, bei dem die Verschlüsselungsschlüssel jeder Sitzung durch einen neuen Diffie-Hellman-Austausch generiert werden, unabhängig von einem langfristigen privaten Schlüssel. Sollte ein Angreifer diesen langfristigen Schlüssel später kompromittieren, kann er den zuvor abgefangenen Datenverkehr dennoch nicht entschlüsseln – die Schlüssel jeder Sitzung verfallen mit dem Ende der Sitzung.

Die wichtigsten Erkenntnisse

• PFS generiert jedes Mal einen neuen Sitzungsschlüssel mittels Diffie-Hellman-Austausch.
• Ein kompromittierter Langzeitschlüssel kann zuvor aufgezeichnete Sitzungen nicht entschlüsseln.
• Für IKE- und IPsec-Sicherheitsverbindungen separat konfigurierbar.
• DH-Gruppen mit höheren Nummern bieten mehr Rechenaufwand im Austausch für eine höhere Geheimhaltung.
• Versa Damit können Sie pro Tunnel eine PFS-Gruppe auswählen oder diese Funktion vollständig deaktivieren.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · PFS & Versa · Häufig gestellte Fragen

Warum ist PFS wichtig?

Ohne PFS lassen sich alle Sitzungsschlüssel auf einen einzigen Langzeitschlüssel zurückführen – den privaten Schlüssel eines Zertifikats oder einen statischen, vorab geteilten Schlüssel. Wird dieser Schlüssel gestohlen, kann ein Angreifer, der den verschlüsselten Datenverkehr unbemerkt aufgezeichnet hat, jede Sitzung, bei der dieser Schlüssel verwendet wurde, rückwirkend entschlüsseln. Dies ist die „Harvest now, decrypt later“-Bedrohung: Heute den Chiffretext erfassen, warten, bis der Schlüssel verfügbar wird.

PFS schließt diese Lücke. Da jede Sitzung ihren eigenen kurzlebigen Schlüssel aushandelt, bringt die Wiederherstellung des Langzeitschlüssels nichts, wenn der Datenverkehr bereits abgefangen wurde. Bei VPNs, SD-WAN-Overlays und „ SASE “-Tunneln, über die seit Jahren sensible Daten übertragen werden, beschränkt sich eine Kompromittierung des Schlüssels somit auf die noch aktiven Sitzungen – es kommt nicht zu einer rückwirkenden Kompromittierung aller jemals gesendeten Daten.

Was ist PFS?

PFS funktioniert so, dass für jede Schlüsselaustauschrunde ein neues Diffie-Hellman-Schlüsselpaar generiert wird, anstatt Schlüssel aus einem statischen Geheimnis abzuleiten. Beide Teilnehmer tauschen öffentliche DH-Werte aus, jeder kombiniert seinen eigenen privaten Exponenten mit dem öffentlichen Wert des Teilnehmers, um ein gemeinsames Geheimnis zu berechnen, und dieses Geheimnis dient als Ausgangspunkt für die Verschlüsselungsschlüssel der Sitzung. Die privaten Exponenten sind kurzlebig – sie werden im Arbeitsspeicher generiert, einmal verwendet und anschließend verworfen –, werden niemals auf die Festplatte geschrieben und niemals aus dem langfristigen Identitätsschlüssel abgeleitet.

Da das gemeinsame Geheimnis von zwei unabhängig voneinander generierten kurzlebigen Werten abhängt, hilft die Kenntnis des Langzeitschlüssels nicht dabei, es später wiederherzustellen. Bei IKE geschieht dies beim anfänglichen Aufbau der Sicherheitsverbindung (SA) und bei jeder Schlüsselneugenerierung, sodass eine Kompromittierung während eines langlebigen Tunnels nur das aktuelle Schlüsselintervall offenlegt, nicht jedoch die gesamte Historie des Tunnels. Die Sicherheit skaliert mit der gewählten Gruppe: Gruppen mit größerem Modulus oder elliptischen Kurven höherer Ordnung widerstehen zukünftigen Angriffen. Bei Auswahl von „No PFS“ wird der Austausch übersprungen, wodurch der Schutz vor rückwirkender Entschlüsselung zugunsten eines schnelleren Handshakes aufgegeben wird.

Arten von PFS

PFS wird mithilfe von Diffie-Hellman-Gruppen implementiert, die sich in zwei Familien unterteilen lassen. Klassische (MODP-)Gruppen tauschen über ein endliches Feld, das durch einen großen Primmodul definiert ist – die Gruppen 1, 2, 5, 14, 15 und 16 verwenden Modulgrößen von 768 bis 4096 Bit, wobei größere Module pro Handshake mehr Rechenleistung erfordern. Gruppen mit elliptischen Kurven (ECP) – die Gruppen 19, 20, 21, 25 und 26 – erzielen mit kleineren Schlüsseln und schnellerer Berechnung eine gleichwertige oder höhere Sicherheit, weshalb sie bei neueren Implementierungen bevorzugt werden.

Eine zweite Achse betrifft den Anwendungsbereich von PFS. IKE-PFS schützt die Schlüsselneugenerierung des Kontrollkanals; IPsec-PFS schützt die Schlüsselneugenerierung des Datenkanals, also die Schlüssel, die den Datenverkehr verschlüsseln. Bei einer Bereitstellung kann eine der beiden Optionen, beide oder keine aktiviert werden, und die beiden müssen nicht dieselbe DH-Gruppe verwenden. „Kein PFS“ ist eine konfigurierbare Option, die verwendet wird, wenn ein schlanker Handshake wichtiger ist als die Widerstandsfähigkeit gegen nachträgliche Entschlüsselung – geeignet nur für Datenverkehr mit geringer Sensibilität.

PFS & Versa

Auf VOS-Geräten ist PFS ein konfigurierbares Feld innerhalb der IKE- und IPsec-Einstellungen für Versa SASE Client-Tunnel, das für die IKE- und IPsec-Sicherheitsassoziationen unabhängig voneinander festgelegt wird. Administratoren wählen eine Diffie-Hellman-Gruppe aus – Gruppe 1 bis Gruppe 26, die sowohl modulusbasierte als auch elliptische Kurvengruppen umfasst – oder wählen „No PFS“, um den Austausch zu überspringen.

Es wird immer dieselbe Konfigurationsoberfläche angezeigt, unabhängig davon, ob der Secure-Access-Dienst für Secure SD-WAN oder für NGFW-Anwendungsfälle bereitgestellt wird, sodass die Einstellung produktlinienübergreifend einheitlich ist. Da die beiden Gruppen separat festgelegt werden, kann ein Administrator eine starke elliptische Kurvengruppe für die Schlüsselneugenerierung des Steuerkanals vorschreiben, während er die Anforderungen für den Datenkanal lockern kann. Reservieren Sie „No PFS“ für Legacy-Szenarien, in denen der CPU-Aufwand für den Austausch inakzeptabel hoch ist.

Häufig gestellte Fragen

Was versteht man unter „Perfect Forward Secrecy“ – einfach ausgedrückt?

PFS bedeutet, dass jede verschlüsselte Sitzung einen eigenen Einmal-Schlüssel erhält, der neu generiert wird, anstatt aus einem Langzeit-Geheimnis abgeleitet zu werden. Sollte dieses Geheimnis jemals offengelegt werden, bleiben vergangene Sitzungen unlesbar, da ihre Schlüssel nie irgendwo gespeichert wurden und sich daraus nicht rekonstruieren lassen.

Was ist der Unterschied zwischen Diffie-Hellman und PFS?

Diffie-Hellman (DH) ist der Schlüsselaustauschalgorithmus selbst. PFS ist eine Eigenschaft, die durch den Einsatz von DH mit kurzlebigen Schlüsseln erreicht wird – ein neues Schlüsselpaar pro Sitzung oder eine Schlüsselneugenerierung anstelle eines statischen Schlüsselpaars. DH ohne kurzlebige Schlüssel bietet für sich genommen keine PFS.

Verlangsamt die Aktivierung von PFS die Verbindungen?

Ja, ein wenig. Bei jedem PFS-Austausch müssen ein neues DH-Schlüsselpaar generiert und ein neues gemeinsames Geheimnis berechnet werden, was im Vergleich zur Wiederverwendung von Schlüsseln einen zusätzlichen CPU-Aufwand verursacht. Gruppen auf Basis elliptischer Kurven minimieren diesen Aufwand; auf moderner Hardware macht sich dieser Aufwand nur selten bemerkbar, außer bei sehr umfangreichen Schlüsselwechseln.

Sollte ich PFS für IPsec-Tunnel aktivieren?

In fast allen Fällen ja. Der Schutz vor rückwirkender Entschlüsselung, den PFS bietet, ist eine bewährte Sicherheitsmaßnahme für VPN- und SD-WAN-Tunnel, und moderne Hardware bewältigt den zusätzlichen Rechenaufwand problemlos. Deaktivieren Sie ihn nur bei leistungsschwachen älteren Geräten, bei denen der Aufwand für den Handshake tatsächlich unzumutbar hoch ist.

Welche Diffie-Hellman-Gruppe sollte ich für PFS wählen?

Bevorzugen Sie Gruppen mit elliptischen Kurven, wie beispielsweise die Gruppen 19, 20 oder 21, gegenüber klassischen Modulgruppen – sie bieten gleiche oder höhere Sicherheit bei geringerem Rechenaufwand. Vermeiden Sie die Gruppen 1 und 2, deren kleine Module nach aktuellen kryptografischen Standards als schwach gelten.

Mehr zum Thema PFS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über PFS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.