Perfect Forward Secrecy: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →
VisuellWikitext
Keine Bearbeitungszusammenfassung
Zeile 49: Zeile 49:
'''Perfect Forward Secrecy''' ('''PFS'''), auf {{deS}} etwa ''perfekte vorwärts gerichtete Geheimhaltung,'' ist in der Kryptographie eine Eigenschaft bestimmter [[Schlüsselaustauschprotokoll]]e mit dem Ziel, einen gemeinsamen Sitzungsschlüssel so zwischen den Kommunikationspartnern zu vereinbaren, dass dieser von einem Dritten auch dann nicht rekonstruiert werden kann, wenn einer der beiden Langzeitschlüssel später einmal kompromittiert werden sollte.
'''Perfect Forward Secrecy''' ('''PFS'''), auf {{deS}} etwa ''perfekte vorwärts gerichtete Geheimhaltung,'' ist in der Kryptographie eine Eigenschaft bestimmter [[Schlüsselaustauschprotokoll]]e mit dem Ziel, einen gemeinsamen Sitzungsschlüssel so zwischen den Kommunikationspartnern zu vereinbaren, dass dieser von einem Dritten auch dann nicht rekonstruiert werden kann, wenn einer der beiden Langzeitschlüssel später einmal kompromittiert werden sollte.


Dadurch kann eine aufgezeichnete, verschlüsselte Kommunikation auch bei Kenntnis des Langzeitschlüssels nicht nachträglich entschlüsselt werden.<ref name="HAC" /> Gelegentlich wird diese Eigenschaft auch unter dem Schlagwort ''Folgenlosigkeit'' behandelt, da ein späteres Aufdecken des Langzeitschlüssels folgenlos für die Sicherheit aller früheren Sitzungen bleibt. Diese Eigenschaft betont auch die alternative englische Bezeichnung ''break-backward protection''.
Dadurch kann eine aufgezeichnete, verschlüsselte Kommunikation auch bei Kenntnis des Langzeitschlüssels nicht nachträglich entschlüsselt werden.<ref name="HAC" /> Gelegentlich wird diese Eigenschaft auch unter dem Schlagwort ''Folgenlosigkeit'' behandelt, da ein späteres Aufdecken des Langzeitschlüssels folgenlos für die Sicherheit aller früheren Sitzungen bleibt.  
* Diese Eigenschaft betont auch die alternative englische Bezeichnung ''break-backward protection''.


== Hintergrund ==
== Hintergrund ==
Prinzipiell kann jeder Schlüssel aufgedeckt werden – entweder durch aufwändige Analyseverfahren, durch Ausspähung, Diebstahl, Bestechung, Erpressung, Nachlässigkeit des Eigentümers oder durch ''[[Brute-Force-Methode|Brute-Force]]'', dem zufälligen Raten des Schlüssels. Aus diesem Grund werden [[Sitzungsschlüssel]] verwendet, die in kurzen Abständen immer wieder neu ausgehandelt werden. Ein Angreifer, dem ein derartiger Sitzungsschlüssel bekannt wird, kann deshalb nur den Teil der Kommunikation entschlüsseln, der mit diesem Sitzungsschlüssel verschlüsselt worden war.
Prinzipiell kann jeder Schlüssel aufgedeckt werden – entweder durch aufwändige Analyseverfahren, durch Ausspähung, Diebstahl, Bestechung, Erpressung, Nachlässigkeit des Eigentümers oder durch ''[[Brute-Force-Methode|Brute-Force]]'', dem zufälligen Raten des Schlüssels.  
* Aus diesem Grund werden [[Sitzungsschlüssel]] verwendet, die in kurzen Abständen immer wieder neu ausgehandelt werden.  
* Ein Angreifer, dem ein derartiger Sitzungsschlüssel bekannt wird, kann deshalb nur den Teil der Kommunikation entschlüsseln, der mit diesem Sitzungsschlüssel verschlüsselt worden war.


Allerdings sind sämtliche Sitzungsschlüssel der Gefahr ausgesetzt, dass derjenige Langzeitschlüssel [[Technische Kompromittierung|kompromittiert]] wird, der für die gesicherte Übertragung der Sitzungsschlüssel verwendet wird. Durch die Kenntnis dieses Langzeitschlüssels könnte ein möglicher Angreifer sämtlichen [[Datenverkehr]] entschlüsseln, insbesondere auch die Übertragung der Sitzungsschlüssel und somit Zugriff auf den gesamten früheren Datenverkehr erhalten.
Allerdings sind sämtliche Sitzungsschlüssel der Gefahr ausgesetzt, dass derjenige Langzeitschlüssel [[Technische Kompromittierung|kompromittiert]] wird, der für die gesicherte Übertragung der Sitzungsschlüssel verwendet wird.  
* Durch die Kenntnis dieses Langzeitschlüssels könnte ein möglicher Angreifer sämtlichen [[Datenverkehr]] entschlüsseln, insbesondere auch die Übertragung der Sitzungsschlüssel und somit Zugriff auf den gesamten früheren Datenverkehr erhalten.


Dies wird durch ''Perfect Forward Secrecy'' unterbunden. Ein möglicher Angreifer kann trotz Kenntnis des Langzeitschlüssels keinerlei Rückschlüsse auf die ausgehandelten Sitzungsschlüssel ziehen. Bei [[Transport Layer Security|TLS]] wird dies dadurch erreicht, dass der Langzeitschlüssel zu einem Signaturverfahren gehört und nur benutzt wird, um Kurzzeitschlüssel zu signieren. Mit diesen wird jeweils durch einen [[Diffie-Hellman-Schlüsselaustausch]] ein Sitzungsschlüssel ausgehandelt. Wird ein Server kompromittiert, erfährt der Angreifer nur den langfristigen Signaturschlüssel und die Sitzungsschlüssel gerade aktiver Verbindungen. Die Sitzungsschlüssel zurückliegender Verbindungen sind bereits gelöscht und lassen sich nicht mehr rekonstruieren.
Dies wird durch ''Perfect Forward Secrecy'' unterbunden.  
* Ein möglicher Angreifer kann trotz Kenntnis des Langzeitschlüssels keinerlei Rückschlüsse auf die ausgehandelten Sitzungsschlüssel ziehen.  
* Bei [[Transport Layer Security|TLS]] wird dies dadurch erreicht, dass der Langzeitschlüssel zu einem Signaturverfahren gehört und nur benutzt wird, um Kurzzeitschlüssel zu signieren.  
* Mit diesen wird jeweils durch einen [[Diffie-Hellman-Schlüsselaustausch]] ein Sitzungsschlüssel ausgehandelt.  
* Wird ein Server kompromittiert, erfährt der Angreifer nur den langfristigen Signaturschlüssel und die Sitzungsschlüssel gerade aktiver Verbindungen.  
* Die Sitzungsschlüssel zurückliegender Verbindungen sind bereits gelöscht und lassen sich nicht mehr rekonstruieren.


== Praxis ==
== Praxis ==
Bei den heutigen Standardverfahren, bei denen zusammen mit symmetrischen Sitzungsschlüsseln ''({{lang|en|session key}})'' auch [[asymmetrisches Kryptosystem|asymmetrische Master-Keys]] eingesetzt werden, müssen auch die sehr viel langlebigeren Hauptschlüssel ''({{lang|en|master keys}})'' eines Kommunikationskanals PFS-fähig sein. Die Kenntnis eines oder beider [[geheimer Schlüssel|privater Schlüssel]] der Kommunikationsendpunkte darf Angreifern das Aufdecken der Sitzungsschlüssel nicht erleichtern.
Bei den heutigen Standardverfahren, bei denen zusammen mit symmetrischen Sitzungsschlüsseln ''({{lang|en|session key}})'' auch [[asymmetrisches Kryptosystem|asymmetrische Master-Keys]] eingesetzt werden, müssen auch die sehr viel langlebigeren Hauptschlüssel ''({{lang|en|master keys}})'' eines Kommunikationskanals PFS-fähig sein.  
* Die Kenntnis eines oder beider [[geheimer Schlüssel|privater Schlüssel]] der Kommunikationsendpunkte darf Angreifern das Aufdecken der Sitzungsschlüssel nicht erleichtern.


Ein Nachteil von ''{{lang|en|Perfect Forward Secrecy}}'' ist der deutlich höhere Aufwand zur Generierung von Sitzungsschlüsseln und die dadurch geringere [[Rechenleistung|Verarbeitungsgeschwindigkeit]]. Aus diesem Grunde kann es bei manchen Verschlüsselungsverfahren (z.&nbsp;B. [[IPsec]]) deaktiviert werden.
Ein Nachteil von ''{{lang|en|Perfect Forward Secrecy}}'' ist der deutlich höhere Aufwand zur Generierung von Sitzungsschlüsseln und die dadurch geringere [[Rechenleistung|Verarbeitungsgeschwindigkeit]].  
* Aus diesem Grunde kann es bei manchen Verschlüsselungsverfahren (z.&nbsp;B. [[IPsec]]) deaktiviert werden.


Im April 2019 empfahl das deutsche [[Bundesamt für Sicherheit in der Informationstechnik]] in seinen Sicherheitsanforderungen für den Einsatz von [[Transport Layer Security|TLS]] bei der Übertragung von Daten die Version TLS 1.2 oder TLS 1.3 in Kombination mit Perfect Forward Secrecy zu nutzen.<ref>{{Internetquelle |url=https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2.pdf |titel=BSI – Transport Layer Security (TLS) |abruf=2021-06-10}}</ref>
Im April 2019 empfahl das deutsche [[Bundesamt für Sicherheit in der Informationstechnik]] in seinen Sicherheitsanforderungen für den Einsatz von [[Transport Layer Security|TLS]] bei der Übertragung von Daten die Version TLS 1.2 oder TLS 1.3 in Kombination mit Perfect Forward Secrecy zu nutzen.<ref>{{Internetquelle |url=https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2.pdf |titel=BSI – Transport Layer Security (TLS) |abruf=2021-06-10}}</ref>


Von den großen internationalen IT-Unternehmen war [[Google]] das Erste, das den Standard unterstützte. Mittlerweile wenden auch [[Facebook]], [[YouTube]] und andere dieses Verfahren an.<ref>[http://www.zeit.de/digital/datenschutz/2013-09/perfect-forward-secrecy ''Die bessere Verschlüsselung''], Artikel von Christiane Schulzki-Haddouti in [[Zeit online]] vom 3.&nbsp;September 2013</ref><ref>{{Toter Link| url=https://email.freenet.de/basic/Informationen | wayback=20141228174225 | text=Informationen zu den E-Mailprodukten}} (Karteikarte „Sicherheit“) freenet.de</ref> [[Microsoft]] verwendet den PFS-Standard seit Mitte 2014 für die [[HTTPS]]-geschützte Kommunikation zwischen Clients und den Servern von [[Outlook.com]], [[Microsoft OneDrive]] und [[Office 365]].<ref>''{{Webarchiv | url=http://blogs.technet.com/b/microsoft_on_the_issues/archive/2014/06/30/advancing-our-encryption-and-transparency-efforts.aspx | archive-is=20140702102923 | text=Advancing our encryption and transparency}}'', Artikel von Matt Thomlinson in [[Microsoft TechNet]] vom 1.&nbsp;Juli 2014</ref> Auch die [[Wikimedia]] Foundation unterstützt seit Juli 2014 für alle durch sie gehosteten Wikis den Standard.<ref>[https://meta.wikimedia.org/wiki/Tech/News/2014/27 Tech/News/2014/27], Wikimedia</ref> [[Apple]] hat auf seiner  [[Worldwide Developers Conference#WWDC 2016|Entwicklerkonferenz (WWDC) 2016]]  angegeben, ab 2017 nur noch Apps im [[App Store (iOS)|Apple Appstore]] zuzulassen, welche die Kommunikation über [[Transport Layer Security|TLS 1.2]] in Verbindung mit PFS in {{lang|en|[https://forums.developer.apple.com/thread/6767 App Transport Security]}} unterstützen.<ref>{{Internetquelle|url=https://developer.apple.com/wwdc16/706|titel=What's New in Security – WWDC 2016 – Videos – Apple Developer|werk=developer.apple.com|zugriff=2016-06-27}}</ref><ref name="apple-Apple_De">{{Internetquelle|autor= |url=https://developer.apple.com/documentation/security/preventing_insecure_network_connections |titel=Preventing Insecure Network Connections |werk=Apple Developer Documentation |datum= |abruf=2021-06-12}}</ref>
Von den großen internationalen IT-Unternehmen war [[Google]] das Erste, das den Standard unterstützte.  
* Mittlerweile wenden auch [[Facebook]], [[YouTube]] und andere dieses Verfahren an.<ref>[http://www.zeit.de/digital/datenschutz/2013-09/perfect-forward-secrecy ''Die bessere Verschlüsselung''], Artikel von Christiane Schulzki-Haddouti in [[Zeit online]] vom 3.&nbsp;September 2013</ref><ref>{{Toter Link| url=https://email.freenet.de/basic/Informationen | wayback=20141228174225 | text=Informationen zu den E-Mailprodukten}} (Karteikarte „Sicherheit“) freenet.de</ref> [[Microsoft]] verwendet den PFS-Standard seit Mitte 2014 für die [[HTTPS]]-geschützte Kommunikation zwischen Clients und den Servern von [[Outlook.com]], [[Microsoft OneDrive]] und [[Office 365]].<ref>''{{Webarchiv | url=http://blogs.technet.com/b/microsoft_on_the_issues/archive/2014/06/30/advancing-our-encryption-and-transparency-efforts.aspx | archive-is=20140702102923 | text=Advancing our encryption and transparency}}'', Artikel von Matt Thomlinson in [[Microsoft TechNet]] vom 1.&nbsp;Juli 2014</ref> Auch die [[Wikimedia]] Foundation unterstützt seit Juli 2014 für alle durch sie gehosteten Wikis den Standard.<ref>[https://meta.wikimedia.org/wiki/Tech/News/2014/27 Tech/News/2014/27], Wikimedia</ref> [[Apple]] hat auf seiner  [[Worldwide Developers Conference#WWDC 2016|Entwicklerkonferenz (WWDC) 2016]]  angegeben, ab 2017 nur noch Apps im [[App Store (iOS)|Apple Appstore]] zuzulassen, welche die Kommunikation über [[Transport Layer Security|TLS 1.2]] in Verbindung mit PFS in {{lang|en|[https://forums.developer.apple.com/thread/6767 App Transport Security]}} unterstützen.<ref>{{Internetquelle|url=https://developer.apple.com/wwdc16/706|titel=What's New in Security – WWDC 2016 – Videos – Apple Developer|werk=developer.apple.com|zugriff=2016-06-27}}</ref><ref name="apple-Apple_De">{{Internetquelle|autor= |url=https://developer.apple.com/documentation/security/preventing_insecure_network_connections |titel=Preventing Insecure Network Connections |werk=Apple Developer Documentation |datum= |abruf=2021-06-12}}</ref>


{{Überarbeiten|2=Dieser Absatz |grund=Die Webarchives als Beleg funktionieren nicht mehr, andere Quellen vorhanden?}}
{{Überarbeiten|2=Dieser Absatz |grund=Die Webarchives als Beleg funktionieren nicht mehr, andere Quellen vorhanden?}}
Zeile 95: Zeile 107:


[[Kategorie:Kryptologie]]
[[Kategorie:Kryptologie]]
[[Kategorie:Verschlüsselung]]
[[Kategorie:Verschlüsselung]]

Version vom 3. Januar 2023, 10:34 Uhr

topic kurze Beschreibung

Beschreibung

Installation

Anwendungen

Fehlerbehebung

Syntax

Optionen

Parameter

Umgebungsvariablen

Exit-Status

Konfiguration

Dateien

Sicherheit

Dokumentation

RFC

Man-Pages

Info-Pages

Siehe auch

Links

Projekt-Homepage

Weblinks

Einzelnachweise

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5

Wikipedia

Perfect Forward Secrecy (PFS), auf Vorlage:DeS etwa perfekte vorwärts gerichtete Geheimhaltung, ist in der Kryptographie eine Eigenschaft bestimmter Schlüsselaustauschprotokolle mit dem Ziel, einen gemeinsamen Sitzungsschlüssel so zwischen den Kommunikationspartnern zu vereinbaren, dass dieser von einem Dritten auch dann nicht rekonstruiert werden kann, wenn einer der beiden Langzeitschlüssel später einmal kompromittiert werden sollte.

Dadurch kann eine aufgezeichnete, verschlüsselte Kommunikation auch bei Kenntnis des Langzeitschlüssels nicht nachträglich entschlüsselt werden.[1] Gelegentlich wird diese Eigenschaft auch unter dem Schlagwort Folgenlosigkeit behandelt, da ein späteres Aufdecken des Langzeitschlüssels folgenlos für die Sicherheit aller früheren Sitzungen bleibt.

  • Diese Eigenschaft betont auch die alternative englische Bezeichnung break-backward protection.

Hintergrund

Prinzipiell kann jeder Schlüssel aufgedeckt werden – entweder durch aufwändige Analyseverfahren, durch Ausspähung, Diebstahl, Bestechung, Erpressung, Nachlässigkeit des Eigentümers oder durch Brute-Force, dem zufälligen Raten des Schlüssels.

  • Aus diesem Grund werden Sitzungsschlüssel verwendet, die in kurzen Abständen immer wieder neu ausgehandelt werden.
  • Ein Angreifer, dem ein derartiger Sitzungsschlüssel bekannt wird, kann deshalb nur den Teil der Kommunikation entschlüsseln, der mit diesem Sitzungsschlüssel verschlüsselt worden war.

Allerdings sind sämtliche Sitzungsschlüssel der Gefahr ausgesetzt, dass derjenige Langzeitschlüssel kompromittiert wird, der für die gesicherte Übertragung der Sitzungsschlüssel verwendet wird.

  • Durch die Kenntnis dieses Langzeitschlüssels könnte ein möglicher Angreifer sämtlichen Datenverkehr entschlüsseln, insbesondere auch die Übertragung der Sitzungsschlüssel und somit Zugriff auf den gesamten früheren Datenverkehr erhalten.

Dies wird durch Perfect Forward Secrecy unterbunden.

  • Ein möglicher Angreifer kann trotz Kenntnis des Langzeitschlüssels keinerlei Rückschlüsse auf die ausgehandelten Sitzungsschlüssel ziehen.
  • Bei TLS wird dies dadurch erreicht, dass der Langzeitschlüssel zu einem Signaturverfahren gehört und nur benutzt wird, um Kurzzeitschlüssel zu signieren.
  • Mit diesen wird jeweils durch einen Diffie-Hellman-Schlüsselaustausch ein Sitzungsschlüssel ausgehandelt.
  • Wird ein Server kompromittiert, erfährt der Angreifer nur den langfristigen Signaturschlüssel und die Sitzungsschlüssel gerade aktiver Verbindungen.
  • Die Sitzungsschlüssel zurückliegender Verbindungen sind bereits gelöscht und lassen sich nicht mehr rekonstruieren.

Praxis

Bei den heutigen Standardverfahren, bei denen zusammen mit symmetrischen Sitzungsschlüsseln (Vorlage:Lang) auch asymmetrische Master-Keys eingesetzt werden, müssen auch die sehr viel langlebigeren Hauptschlüssel (Vorlage:Lang) eines Kommunikationskanals PFS-fähig sein.

  • Die Kenntnis eines oder beider privater Schlüssel der Kommunikationsendpunkte darf Angreifern das Aufdecken der Sitzungsschlüssel nicht erleichtern.

Ein Nachteil von Vorlage:Lang ist der deutlich höhere Aufwand zur Generierung von Sitzungsschlüsseln und die dadurch geringere Verarbeitungsgeschwindigkeit.

  • Aus diesem Grunde kann es bei manchen Verschlüsselungsverfahren (z. B. IPsec) deaktiviert werden.

Im April 2019 empfahl das deutsche Bundesamt für Sicherheit in der Informationstechnik in seinen Sicherheitsanforderungen für den Einsatz von TLS bei der Übertragung von Daten die Version TLS 1.2 oder TLS 1.3 in Kombination mit Perfect Forward Secrecy zu nutzen.[2]

Von den großen internationalen IT-Unternehmen war Google das Erste, das den Standard unterstützte.

Vorlage:Überarbeiten Nach Angabe des Vorlage:Lang vom Januar 2015 waren damals ca. 20,9 Prozent aller Webseiten, die eine TLS-Verschlüsselung nutzen, dazu konfiguriert, Cipher Suites zu verwenden, die Vorlage:Lang mit modernen Browsern unterstützten.[9] Ein Jahr später, im Januar 2016, waren es schon ca. 46,9 Prozent.[10]

Literatur

  • Naganand Doraswamy, Dan Harkins: IPSec. The New Security Standard for the Internet, Intranets, and Virtual Private Networks. 2nd Edition. Prentice Hall PTR, Upper Saddle River NJ 2003, ISBN 0-13-046189-X.

Normen und Standards

  • RFC 2409, Beispiel bei The Internet Key Exchange (IKE)
  • RFC 2412, Beispiel bei IPsec
  • RFC 4650

Weblinks

Einzelnachweise

  1. ↑ Vorlage:Literatur
  2. ↑
  3. ↑ Die bessere Verschlüsselung, Artikel von Christiane Schulzki-Haddouti in Zeit online vom 3. September 2013
  4. ↑ Vorlage:Toter Link (Karteikarte „Sicherheit“) freenet.de
  5. ↑ Vorlage:Webarchiv, Artikel von Matt Thomlinson in Microsoft TechNet vom 1. Juli 2014
  6. ↑ Tech/News/2014/27, Wikimedia
  7. ↑
  8. ↑
  9. ↑ Vorlage:Cite web
  10. ↑ Vorlage:Cite web
Abgerufen von „https://wiki.foxtom.de/index.php?title=Perfect_Forward_Secrecy&oldid=50295“