¿Qué es el secreto perfecto hacia adelante (PFS)?

El secreto perfecto hacia adelante (PFS) es una propiedad de un protocolo de intercambio de claves que genera las claves de cifrado de cada sesión mediante un intercambio Diffie-Hellman nuevo, independiente de cualquier clave privada a largo plazo. Si posteriormente un atacante logra acceder a esa clave a largo plazo, seguirá sin poder descifrar el tráfico capturado anteriormente, ya que las claves de cada sesión se eliminan al finalizar la sesión.

Puntos clave

• PFS genera una nueva clave de sesión cada vez mediante el intercambio de Diffie-Hellman.
• Una clave a largo plazo comprometida no puede descifrar sesiones capturadas anteriormente.
• Se puede configurar por separado para las asociaciones de seguridad IKE e IPsec.
• Los grupos DH con números más altos sacrifican algo de potencia de cálculo a cambio de una mayor confidencialidad.
• Versa te permite seleccionar un grupo PFS por túnel o desactivarlo por completo.

En esta página: Por qué es importante · Cómo funciona · Tipos · PFS y Versa · Preguntas frecuentes

¿Por qué es importante el PFS?

Sin PFS, todas las claves de sesión se remontan a una única clave a largo plazo: la clave privada de un certificado o una clave precompartida estática. Si se roba esa clave, un atacante que haya estado registrando de forma sigilosa el tráfico cifrado puede descifrar, con carácter retroactivo, todas las sesiones que la hayan utilizado. Esta es la amenaza de «recoger ahora, descifrar más tarde»: capturar el texto cifrado hoy y esperar a que la clave esté disponible.

PFS cierra esa ventana. Dado que cada sesión negocia su propia clave efímera, recuperar la clave a largo plazo no sirve de nada frente al tráfico que ya ha sido capturado. En el caso de las VPN, las superposiciones SD-WAN y los túneles « SASE » que transportan años de tráfico confidencial, esto limita la exposición de la clave a las sesiones que siguen activas, sin que se produzca una filtración retroactiva de todo lo que se haya enviado jamás.

¿Qué es el PFS?

El PFS funciona generando un nuevo par de claves de Diffie-Hellman para cada ronda de intercambio de claves, en lugar de derivar las claves a partir de un secreto estático. Ambos pares intercambian valores públicos de DH; cada uno combina su propio exponente privado con el valor público del otro para calcular un secreto compartido, y ese secreto sirve de base para las claves de cifrado de la sesión. Los exponentes privados son efímeros —se generan en memoria, se utilizan una sola vez y se descartan—; nunca se escriben en el disco ni se derivan de la clave de identidad a largo plazo.

Dado que el secreto compartido depende de dos valores efímeros generados de forma independiente, conocer la clave a largo plazo no ayuda a recuperarlo posteriormente. En IKE, esto ocurre durante el establecimiento inicial de la SA y en cada renovación de clave, por lo que una filtración a mitad de un túnel de larga duración solo expone el intervalo de claves actual, no todo el historial del túnel. La seguridad varía en función del grupo seleccionado: los grupos de curva elíptica de mayor módulo o de orden superior resisten mejor los ataques futuros. Al seleccionar «Sin PFS» se omite el intercambio, sacrificando la protección contra el descifrado retroactivo a cambio de un protocolo de enlace más rápido.

Tipos de PFS

El PFS se implementa mediante grupos de Diffie-Hellman, que se dividen en dos familias. Los grupos clásicos (MODP) realizan el intercambio sobre un campo finito definido por un módulo primo grande: los grupos 1, 2, 5, 14, 15 y 16 utilizan módulos de entre 768 y 4096 bits, y los módulos más grandes consumen más recursos de la CPU por cada establecimiento de conexión. Los grupos de curva elíptica (ECP) —los grupos 19, 20, 21, 25 y 26— logran una seguridad equivalente o superior con claves más pequeñas y un cálculo más rápido, razón por la cual las implementaciones más recientes los prefieren.

Un segundo eje es aquel en el que se aplica el PFS. El PFS de IKE protege la renovación de claves del canal de control; el PFS de IPsec protege la renovación de claves del canal de datos, es decir, las claves que cifran el tráfico. En una implementación se puede habilitar uno, ambos o ninguno, y no es necesario que los dos utilicen el mismo grupo DH. «Sin PFS» es una opción configurable que se utiliza cuando es más importante un protocolo de establecimiento de conexión ligero que la resistencia al descifrado retroactivo; solo es adecuada para tráfico de baja sensibilidad.

PFS y Versa

En los dispositivos VOS, PFS es un campo configurable dentro de los ajustes de IKE e IPsec para los túneles de cliente deVersa SASE , que se configura de forma independiente para las asociaciones de seguridad de IKE e IPsec. Los administradores seleccionan un grupo Diffie-Hellman —del Grupo 1 al Grupo 26, que abarca grupos basados en módulos y en curvas elípticas— o eligen «Sin PFS» para omitir el intercambio.

Aparece la misma interfaz de configuración tanto si el servicio de acceso seguro se implementa para Secure SD-WAN o para casos de uso de NGFW, por lo que la configuración es coherente en todas las líneas de productos. Dado que los dos grupos se configuran por separado, un administrador puede exigir un grupo de curva elíptica fuerte para el cambio de clave del canal de control, al tiempo que relaja este requisito para el canal de datos. Reserve la opción «Sin PFS» para escenarios heredados en los que el coste de CPU del intercambio sea inaceptable.

Preguntas frecuentes

¿Qué es el secreto perfecto hacia adelante, en términos sencillos?

PFS significa que cada sesión cifrada cuenta con su propia clave de un solo uso, generada en cada ocasión en lugar de derivarse de un secreto a largo plazo. Si ese secreto llegara a revelarse, las sesiones anteriores seguirían siendo ilegibles, ya que sus claves nunca se almacenaron en ningún sitio y no pueden reproducirse a partir de él.

¿Cuál es la diferencia entre Diffie-Hellman y PFS?

Diffie-Hellman (DH) es el algoritmo de intercambio de claves en sí mismo. La PFS es una propiedad que se consigue utilizando DH de forma efímera: un nuevo par de claves por sesión o un cambio de clave, en lugar de una clave estática. El algoritmo DH sin claves efímeras no proporciona, por sí solo, la PFS.

¿Activar PFS ralentiza las conexiones?

Sí, ligeramente. Cada intercambio PFS requiere generar un nuevo par de claves DH y calcular un nuevo secreto compartido, lo que supone una sobrecarga de la CPU en comparación con la reutilización de claves. Los grupos de curva elíptica minimizan este coste; en el hardware moderno, la sobrecarga apenas se nota, salvo en casos de generación de claves a gran escala.

¿Debería activar PFS en los túneles IPsec?

En casi todos los casos, sí. La protección contra el descifrado retroactivo que ofrece PFS es una práctica recomendada de seguridad para los túneles VPN y SD-WAN, y el hardware moderno asimila fácilmente la carga computacional adicional. Desactívala únicamente en dispositivos heredados con recursos limitados, en los que el coste del protocolo de establecimiento de conexión sea realmente prohibitivo.

¿Qué grupo de Diffie-Hellman debería elegir para PFS?

Es preferible utilizar grupos de curvas elípticas, como los grupos 19, 20 o 21, en lugar de los grupos de módulo clásicos, ya que ofrecen un nivel de seguridad igual o superior con un menor esfuerzo computacional. Evita los grupos 1 y 2, cuyos módulos reducidos se consideran débiles según los estándares criptográficos actuales.

Más información sobre PFS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre PFS, te conviene echar un vistazo a lo siguiente.