完全前方秘匿性（PFS）とは何ですか？

完全前方秘匿性（PFS）とは、長期の秘密鍵とは独立して、毎回新たなディフィー・ヘルマン交換を通じて各セッションの暗号化鍵を生成する鍵交換プロトコルの特性である。たとえ攻撃者が後でその長期鍵を盗み出したとしても、以前に傍受した通信を復号することはできない。各セッションの鍵は、そのセッションが終了すると無効になるからである。

主なポイント

• PFSは、ディフィー・ヘルマン交換を用いて、毎回新しいセッションキーを生成します。
• 侵害された長期鍵では、過去にキャプチャされたセッションを復号することはできません。
• IKEおよびIPsecのセキュリティアソシエーションごとに個別に設定可能です。
• 番号の大きいDHグループほど、計算コストは高くなるが、機密性はより高くなる。
• Versa トンネルごとにPFSグループを選択したり、PFSを完全に無効にしたりすることができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ PFS およびVersa · よくある質問

PFSはなぜ重要なのでしょうか？

PFSがなければ、すべてのセッションキーは、証明書の秘密鍵や静的な事前共有鍵といった単一の長期鍵にさかのぼることになります。その鍵が盗まれた場合、暗号化されたトラフィックを密かに記録していた攻撃者は、その鍵を使用したすべてのセッションを遡って復号することが可能になります。これが「今収集し、後で復号する」という脅威です。つまり、今日暗号文をキャプチャし、鍵が入手可能になるのを待つというものです。

PFSはこの抜け穴を塞ぎます。各セッションが独自の一時鍵をネゴシエートするため、長期鍵を復元しても、すでに傍受されたトラフィックに対しては何の役にも立ちません。VPN、SD-WANオーバーレイ、および長年にわたる機密トラフィックを伝送するSASE トンネルにおいて、これにより鍵の漏洩による影響は、現在アクティブなセッションに限定され、過去に送信されたすべてのデータが遡及的に侵害されることはありません。

PFSとは何ですか？

PFSは、静的な秘密鍵から鍵を導出するのではなく、鍵交換のラウンドごとに新しいディフィー・ヘルマン鍵ペアを生成することで機能します。両ノードはDH公開値を交換し、それぞれが自身の秘密指数と相手側の公開値を組み合わせて共有秘密鍵を計算し、その秘密鍵がセッションの暗号化鍵のシードとなります。 秘密指数は一時的なものであり、メモリ内で生成され、一度使用された後は破棄されます。ディスクに書き込まれることはなく、長期の識別キーから導出されることもありません。

共有秘密鍵は、2つの独立して生成された一時的な値に依存しているため、長期鍵を知っていても、後でそれを復元することはできません。 IKEでは、これは初期のSA確立時およびすべての鍵更新時に発生するため、長期間存続するトンネル途中でセキュリティが侵害された場合でも、トンネルの全履歴ではなく、現在の鍵の期間のみが露見することになります。強度は選択された群に比例します。つまり、より大きなモジュラスや高次楕円曲線群ほど、将来の攻撃に対する耐性が高くなります。「No PFS」を選択すると、この鍵交換が省略され、遡及的な復号保護を犠牲にする代わりに、より高速なハンドシェイクが実現されます。

PFSの種類

PFSは、2つのファミリーに分類されるディフィー・ヘルマン群を通じて実装されています。従来の（MODP）群は、大きな素数モジュラスによって定義される有限体上で鍵交換を行います。グループ1、2、5、14、15、および16は、768ビットから4096ビットのモジュラスサイズを使用しており、モジュラスが大きくなるほど、ハンドシェイク1回あたりのCPU負荷が増加します。 楕円曲線（ECP）グループ（グループ19、20、21、25、26）は、より小さな鍵と高速な計算で同等またはそれ以上のセキュリティを実現するため、最近の導入事例ではこれらを好んで採用されています。

2つ目の軸は、PFSが適用される領域です。IKE PFSは制御チャネルの鍵更新を保護し、IPsec PFSはデータチャネルの鍵更新、つまりトラフィックを暗号化する鍵を保護します。導入時には、いずれか一方、両方、あるいはどちらも有効にしないという選択肢があり、これら2つが同じDHグループを使用する必要はありません。「PFSなし」は設定可能なオプションであり、事後復号への耐性よりも軽量なハンドシェイクが優先される場合に使用されます。これは、機密性の低いトラフィックにのみ適しています。

PFS &Versa

VOSデバイスでは、PFSはVersa SASE クライアントトンネルのIKEおよびIPsec設定内にある設定可能なフィールドであり、IKEおよびIPsecのセキュリティアソシエーションごとに個別に設定されます。管理者は、ディフィー・ヘルマン・グループ（モジュラスベースおよび楕円曲線グループを含むグループ1からグループ26まで）を選択するか、または「No PFS」を選択してこの交換をスキップすることができます。

セキュアアクセスサービスが Secure SD-WANかNGFWのユースケースのいずれに展開されていても同じ設定画面が表示されるため、製品ライン全体で設定は一貫しています。2つのグループは個別に設定されるため、管理者は制御チャネルの再鍵交換には強力な楕円曲線グループを必須としつつ、データチャネルでは要件を緩和することができます。「No PFS」は、交換処理のCPU負荷が許容できないレガシーなシナリオに限定して使用してください。

よくある質問

「完全な前方秘匿性」とは、簡単に言うとどのようなものですか？

PFSとは、すべての暗号化セッションに固有のワンタイムキーが割り当てられ、そのキーは長期秘密鍵から導出されるのではなく、その都度新たに生成されることを意味します。万が一その秘密鍵が漏洩したとしても、過去のセッションは解読不可能なままです。なぜなら、それらのセッションのキーは一切どこにも保存されておらず、その秘密鍵から再現することもできないからです。

ディフィー・ヘルマンとPFSの違いは何ですか？

ディフィー・ヘルマン（DH）は、鍵交換アルゴリズムそのものです。PFSとは、DHを一時的な鍵（セッションごとに新しい鍵ペアを使用するか、静的な鍵の代わりに再鍵生成を行うこと）として用いることで実現される特性です。一時的な鍵を使用しないDHだけでは、それ自体ではPFSを提供しません。

PFSを有効にすると、接続速度は低下しますか？

はい、多少はあります。PFSによる鍵交換を行うたびに、新しいDH鍵ペアを生成し、新しい共有秘密鍵を計算する必要があるため、鍵を再利用する場合に比べてCPUのオーバーヘッドが発生します。楕円曲線グループを用いることでこのコストを最小限に抑えることができ、最新のハードウェアでは、非常に大規模な鍵更新を行う場合を除き、このオーバーヘッドが顕著になることはほとんどありません。

IPsecトンネルでPFSを有効にするべきでしょうか？

ほぼすべてのケースにおいて、その通りです。PFSが提供する遡及的復号化に対する保護機能は、VPNやSD-WANトンネルにおけるセキュリティ上のベストプラクティスであり、最新のハードウェアであれば、その追加の計算負荷も容易に処理できます。ハンドシェイクの負荷が実際に許容できないほど大きい、リソースに制約のあるレガシーデバイスに限り、この機能を無効にしてください。

PFSにはどのディフィー・ヘルマン群を選べばよいでしょうか？

従来のモジュラス群よりも、グループ19、20、21などの楕円曲線群を優先してください。これらは、より少ない計算量で同等かそれ以上のセキュリティを提供します。グループ1およびグループ2は、そのモジュラスが小さいため、現在の暗号規格では脆弱と見なされているため、使用を避けてください。

PFSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

PFSについてお読みになっているなら、次はこれらもぜひチェックしてみてください。