Qu'est-ce que la confidentialité parfaite vers l'avant (PFS) ?

La confidentialité parfaite vers l'avant (PFS) est une propriété d'un protocole d'échange de clés qui génère les clés de chiffrement de chaque session via un nouvel échange de Diffie-Hellman, indépendamment de toute clé privée à long terme. Si un attaquant parvient par la suite à compromettre cette clé à long terme, il ne pourra toujours pas déchiffrer le trafic capturé auparavant : les clés de chaque session sont détruites à la fin de celle-ci.

Points clés à retenir

• PFS génère à chaque fois une nouvelle clé de session via un échange de Diffie-Hellman.
• Une clé à long terme compromise ne permet pas de déchiffrer les sessions enregistrées précédemment.
• Configurable séparément pour les associations de sécurité IKE et IPsec.
• Les groupes DH à nombre élevé privilégient une confidentialité renforcée au détriment de la puissance de calcul.
• Versa vous permet de sélectionner un groupe PFS par tunnel, ou de le désactiver complètement.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · PFS et Versa · FAQ

Pourquoi la PFS est-elle importante ?

Sans PFS, toutes les clés de session remontent à une seule clé à long terme : la clé privée d’un certificat ou une clé pré-partagée statique. Si cette clé est volée, un attaquant ayant discrètement enregistré le trafic chiffré peut déchiffrer rétrospectivement toutes les sessions qui l’ont utilisée. C’est ce qu’on appelle la menace « collecter maintenant, déchiffrer plus tard » : capturer le texte chiffré aujourd’hui, puis attendre que la clé soit disponible.

Le PFS met fin à cette faille. Étant donné que chaque session négocie sa propre clé éphémère, la récupération de la clé à long terme n’apporte rien face au trafic déjà intercepté. Pour les VPN, les superpositions SD-WAN et les tunnels « SASE » transportant des années de trafic sensible, cela limite la compromission d’une clé aux sessions encore actives – et non à une violation rétroactive de tout ce qui a jamais été envoyé.

Qu'est-ce que le PFS ?

Le protocole PFS fonctionne en générant une nouvelle paire de clés Diffie-Hellman à chaque itération d’échange de clés, au lieu de dériver les clés à partir d’un secret statique. Les deux pairs échangent leurs valeurs publiques DH ; chacun combine son propre exposant privé avec la valeur publique de son pair pour calculer un secret partagé, et ce secret sert de base aux clés de chiffrement de la session. Les exposants privés sont éphémères : générés en mémoire, utilisés une seule fois puis supprimés ; ils ne sont jamais écrits sur le disque et ne sont jamais dérivés de la clé d’identité à long terme.

Comme le secret partagé repose sur deux valeurs éphémères générées indépendamment l’une de l’autre, la connaissance de la clé à long terme ne permet pas de le récupérer ultérieurement. Dans IKE, cela se produit lors de l’établissement initial de la SA et à chaque renouvellement de clé ; ainsi, une compromission survenant au cours d’un tunnel de longue durée n’expose que l’intervalle de clés actuel, et non l’historique complet du tunnel. La robustesse est proportionnelle au groupe sélectionné : un module plus grand ou des groupes de courbes elliptiques d’ordre supérieur résistent mieux aux attaques futures. Sélectionner « No PFS » permet d’ignorer cet échange, au prix de la protection contre le déchiffrement rétroactif, mais en faveur d’une poignée de main plus rapide.

Types de PFS

Le PFS est mis en œuvre à l’aide de groupes de Diffie-Hellman, qui se répartissent en deux familles. Les groupes classiques (MODP) effectuent l’échange sur un corps fini défini par un grand module premier : les groupes 1, 2, 5, 14, 15 et 16 utilisent des modules dont la taille varie de 768 à 4 096 bits, les modules plus grands nécessitant davantage de ressources CPU par établissement de connexion. Les groupes à courbe elliptique (ECP) – groupes 19, 20, 21, 25 et 26 – offrent un niveau de sécurité équivalent, voire supérieur, avec des clés plus courtes et des calculs plus rapides, ce qui explique pourquoi les déploiements récents les privilégient.

Un deuxième axe concerne l’application du PFS. Le PFS IKE protège le renouvellement des clés du canal de contrôle ; le PFS IPsec protège le renouvellement des clés du canal de données, c’est-à-dire les clés qui chiffrent le trafic. Un déploiement peut activer l’un, les deux ou aucun des deux, et il n’est pas nécessaire que les deux utilisent le même groupe DH. « Pas de PFS » est une option configurable, utilisée lorsqu’une poignée de main allégée prime sur la résistance au déchiffrement rétroactif – elle ne convient qu’au trafic peu sensible.

PFS & Versa

Sur les appareils VOS, le PFS est un champ configurable dans les paramètres IKE et IPsec pour les tunnels client «Versa »SASE , défini indépendamment pour les associations de sécurité IKE et IPsec. Les administrateurs sélectionnent un groupe Diffie-Hellman (du groupe 1 au groupe 26, comprenant à la fois des groupes basés sur des modules et des groupes à courbe elliptique) ou choisissent « No PFS » pour ignorer l'échange.

La même interface de configuration s'affiche, que le service d'accès sécurisé soit déployé pour Secure SD-WAN ou pour des cas d’utilisation NGFW, ce qui garantit la cohérence des paramètres entre les différentes gammes de produits. Les deux groupes étant configurés séparément, un administrateur peut exiger un groupe à courbe elliptique fort pour le renouvellement de clé du canal de contrôle tout en assouplissant cette exigence pour le canal de données. Réservez l’option « No PFS » aux scénarios hérités où la charge CPU liée à l’échange est inacceptable.

Questions fréquentes

Qu'est-ce que le « Perfect Forward Secrecy », en termes simples ?

Le protocole PFS garantit que chaque session chiffrée dispose de sa propre clé à usage unique, générée à chaque fois plutôt que dérivée d'un secret à long terme. Si ce secret venait à être compromis, les sessions passées resteraient illisibles, car leurs clés n'ont jamais été stockées nulle part et ne peuvent pas être reproduites à partir de ce secret.

Quelle est la différence entre Diffie-Hellman et PFS ?

Diffie-Hellman (DH) désigne l'algorithme d'échange de clés proprement dit. La propriété PFS est obtenue en utilisant DH de manière éphémère, c'est-à-dire en générant une nouvelle paire de clés par session ou en procédant à un renouvellement de clés, plutôt qu'en utilisant une clé statique. À lui seul, DH sans clés éphémères n'assure pas la propriété PFS.

L'activation du PFS ralentit-elle les connexions ?

Oui, légèrement. Chaque échange PFS nécessite la génération d'une nouvelle paire de clés DH et le calcul d'un nouveau secret partagé, ce qui entraîne une surcharge du processeur par rapport à la réutilisation des clés. Les groupes à courbe elliptique minimisent ce coût ; sur le matériel moderne, cette surcharge est rarement perceptible, sauf en cas de renouvellement de clés à très grand volume.

Dois-je activer le PFS sur les tunnels IPsec ?

Dans la quasi-totalité des cas, oui. La protection contre le décryptage rétroactif offerte par le PFS constitue une bonne pratique en matière de sécurité pour les tunnels VPN et SD-WAN, et le matériel moderne prend facilement en charge la charge de calcul supplémentaire. Ne la désactivez que pour les appareils hérités aux ressources limitées, pour lesquels le coût de la négociation de connexion est réellement prohibitif.

Quel groupe de Diffie-Hellman dois-je choisir pour le PFS ?

Privilégiez les groupes à courbe elliptique, tels que les groupes 19, 20 ou 21, plutôt que les groupes à module classique : ils offrent un niveau de sécurité équivalent, voire supérieur, tout en nécessitant moins de calculs. Évitez les groupes 1 et 2, dont les petits modules sont considérés comme faibles selon les normes cryptographiques actuelles.

En savoir plus sur le PFS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au PFS, voici quelques liens qui pourraient vous intéresser.