Perfect Forward Secrecy (PFS)

Perfect Forward Secrecy ou Forward Secrecy est une méthode de cryptage qui permet des échanges de clés temporaires entre les serveurs et les clients. Une clé de session unique est créée pour chaque session initiée par un utilisateur individuel. Les données des autres sessions ne seront pas affectées si l'une des clés de session est compromise. Par conséquent, les sessions passées et les informations qu'elles contiennent sont protégées contre toute attaque future. Sans secret avant parfait, un utilisateur lance une session de communication avec un client et l'ensemble de la conversation est chiffré sur la base de la clé spéciale du client. Cependant, le client utilise la même clé spéciale pour générer le cryptage de toutes ses sessions et, si elle est compromise, il en va de même pour toutes les informations contenues dans chaque conversation.

Chaque session de communication est protégée par le secret parfait. Elle génère une clé de chiffrement unique qui est distincte de la clé spéciale. Cette clé ne peut être utilisée que pour la durée de sa validité. Les conversations resteront cryptées et sécurisées même si un attaquant compromet la clé spéciale d'un des utilisateurs. Il en va de même pour la clé chiffrée qui est unique pour chaque conversation.

Perfect forward secrecy est une mesure de sécurité standard que les développeurs peuvent mettre en œuvre dans les services de messagerie et les sites web dédiés à la confidentialité. Elle protège les données au niveau de la couche transport du réseau. Cette fonctionnalité permet aux outils de changer les clés de chiffrement au même rythme que les messages texte, les appels téléphoniques et les rafraîchissements de page. Récemment, l'Internet Engineering Task Force a publié la norme Transport Layer Security Standard afin de rendre obligatoire le secret de transmission parfait pour toutes les sessions TLS. Heartbleed et le perfect forward secrecy Après l'introduction du bogue Heartbleed en 2012 dans OpenSSL, le perfect forward secrecy est devenu plus populaire. Cette vulnérabilité résulte d'une validation insuffisante des entrées lorsque l'extension Heartbeat du protocole Transport Layer Security est utilisée. Heartbleed, également connu sous le nom de vulnérabilité de buffer over-read, permet à l'utilisateur d'accéder à plus de données que ce qui est autorisé. Cela pourrait conduire à la fuite de chaînes entières d'informations jusqu'à 64 kilo-octets.

Si Heartbleed a été divulgué publiquement depuis 2014, il a prouvé la simplicité d'une attaque OpenSSL et a suscité la conversation autour des méthodes temporaires d'échange de clés. Ainsi, le secret parfait avant est devenu une solution viable pour protéger les utilisateurs contre des défauts de code similaires. Le secret parfait avant utilisé Depuis sa conception, le secret parfait avant est largement utilisé par les fournisseurs d'informations et est considéré comme un élément de sécurité essentiel. Signal, un protocole de messagerie pour le chiffrement de bout en bout que l'on retrouve dans WhatsApp, Google Allo messenger et les conversations Facebook, a popularisé le secret parfait avant. Connu sous le nom de système de "double cliquet", Signal crée une nouvelle clé de chiffrement pour chaque message. Plus récemment, il a également introduit une fonctionnalité qui permet aux messages de s'autodétruire. En 2011, Google a fourni aux utilisateurs de Gmail, de Google Docs et de la recherche cryptée une confidentialité parfaite par défaut. Twitter propose le secret de transmission parfait à tous les utilisateurs depuis 2013. Apple a annoncé en 2016 un nouveau protocole obligatoire pour toutes les applications iOS exigeant l'utilisation d'App Transport Security, une fonction de sécurité qui utilise le perfect forward secrecy.