Cos'è la perfect forward secrecy e perché è importante?

La perfect forward secrecy (PFS, o forward secrecy) è una funzionalità di sicurezza nei sistemi di crittografia che garantisce che le comunicazioni passate rimangano sicure anche se una chiave privata a lungo termine viene compromessa in seguito.

Normalmente, i sistemi crittografati utilizzano una chiave crittografica segreta che rimane la stessa per un lungo periodo di tempo. Se qualcuno ruba quella chiave dopo che la comunicazione è già avvenuta, potrebbe potenzialmente decriptare le comunicazioni precedentemente registrate.

Immagina di lavorare da remoto e di accedere al vecchio portale web interno della tua azienda tramite HTTPS per inviare note spese o informazioni personali sulle buste paga. Il sistema utilizza una configurazione TLS più vecchia che non supporta la perfect forward secrecy.

Un utente malintenzionato in un punto qualsiasi del percorso di rete (ad esempio, su un WiFi pubblico o su un router compromesso) registra il traffico crittografato. Non può leggerlo al momento perché è crittografato.

Mesi dopo, l'azienda subisce una violazione e la chiave crittografica privata a lungo termine del server trapela. Poiché il sistema non utilizzava la forward secrecy, l'autore dell'attacco può usare quella chiave per decriptare il traffico precedentemente registrato, esponendo le informazioni sensibili che hai inviato in precedenza.

Se il sistema avesse utilizzato la forward secrecy, ogni sessione avrebbe utilizzato chiavi crittografiche temporanee che sarebbero poi state rimosse, quindi la fuga di una chiave del server non avrebbe consentito a un utente malintenzionato di decriptare le comunicazioni passate.

La perfect forward secrecy genera nuove chiavi di sessione temporanee attraverso scambi di chiavi asimmetriche effimere per ciascuna sessione di comunicazione. Questo viene solitamente ottenuto utilizzando protocolli di scambio di chiavi effimeri come Diffie-Hellman (DH) o la sua controparte a curve ellittiche più efficiente, Elliptic Curve Diffie-Hellman (ECDH).

L'Elliptic Curve Diffie-Hellman è ampiamente preferito oggi perché fornisce la stessa sicurezza del Diffie-Hellman tradizionale pur utilizzando dimensioni delle chiavi molto più ridotte, migliorando le prestazioni. Il Diffie-Hellman tradizionale si basa su grandi numeri primi e in passato sono state sfruttate(nuova finestra) scelte di parametri deboli o riutilizzati.

Il diagramma seguente mostra un handshake TLS con perfect forward secrecy. Sia il client che il server generano coppie di chiavi effimere e si scambiano le loro chiavi pubbliche per derivare un segreto di sessione condiviso. Poiché queste chiavi sono effimere, le sessioni passate rimangono sicure anche se la chiave a lungo termine del server viene successivamente compromessa.

• La maggior parte dei siti web sicuri (HTTPS), inclusi l'online banking e lo shopping. L'HTTPS utilizza il TLS per crittografare le connessioni ai siti web, e il TLS 1.3 include la forward secrecy.
• App di messaggistica con crittografia end-to-end, come Signal e WhatsApp. In genere ruotano le chiavi frequentemente, a volte per ogni messaggio.
• App VPN(nuova finestra) che utilizzano protocolli VPN moderni come WireGuard®(nuova finestra) e OpenVPN(nuova finestra) (con Diffie-Hellman effimero). Proton VPN supporta la forward secrecy(nuova finestra).
• Strumenti di accesso remoto SSH come OpenSSH (integrato in macOS e nella maggior parte dei sistemi Linux) e PuTTY (un client SSH per Windows).
• I servizi di email di solito crittografano le email mentre vengono inviate tra i server, spesso utilizzando il TLS che supporta la forward secrecy, in modo che gli estranei non possano intercettarle facilmente. But il provider di posta stesso potrebbe essere ancora in grado di leggere le email archiviate a meno che non siano protette da una crittografia come il PGP.