Perfect forward secrecy

El término secreto perfecto hacia adelante^[1] (en inglés perfect forward secrecy, PFS) es la propiedad de los sistemas criptográficos que garantiza que el descubrimiento de las claves utilizadas actualmente no compromete la seguridad de las claves usadas con anterioridad (no las revela). Por tanto la seguridad de lo que se hizo usando claves antiguas persiste. Cuando un sistema tiene secreto perfecto hacia adelante se dice que el sistema es seguro hacia adelante.

Poco a poco nos estamos concienciando de que el entorno en el que nos movemos no es seguro. Por ejemplo, las comunicaciones en línea pueden ser observadas en su camino hacia el destino, los datos que residen en nuestros equipos son vulnerables a múltiples tipos de ataques. Esto nos lleva a que intentemos acotar el impacto que puede tener un ataque a la seguridad de las claves. Perseguimos que la vulneración de las claves en el presente no afecte a la seguridad de lo que hicimos en el pasado con esas claves.^[2]

Controversia

Forward secrecy se usa normalmente como sinónimo de perfect forward secrecy.^[3] Sin embargo ha habido controversia sobre ello. Al menos en una referencia^[4] se distingue entre perfect forward secrecy y forward secrecy. Al concepto de perfect forward secrecy le añade la propiedad adicional de que la seguridad de la clave no será comprometida incluso si se han comprometido claves derivadas a partir del mismo 'material clave' en una ejecución siguiente.

Objetivo

Muchos criptosistemas confían su seguridad a la posesión de un secreto al que normalmente se le llama clave secreta. En la aplicación práctica de estos criptosistemas al mundo real nos lleva frecuentemente a entornos en los que no hay seguridad absoluta y por tanto la clave secreta se ve expuesta a ataques que pueden comprometer su secreto. En estos entornos es muy importante limitar el daño causado por la posible exposición de claves secretas. Por eso en estos sistemas las claves secretas se va actualizando de forma regular. En estos sistemas la actualización de la clave secreta tiene que ser de tal forma que la exposición de una clave secreta correspondiente a un periodo de tiempo dado no permita a un adversario 'romper' el esquema para periodos de tiempo anteriores. Esto es lo que se modeliza con el concepto de forward secrecy. Resumiendo, el objetivo de los sistemas que cumplen esta propiedad es que si una clave es comprometida, en ningún caso se compromete la seguridad de los datos protegidos con claves anteriores (claves válidas en periodos anteriores de tiempo).^[5]

No hay que confundir los sistemas con seguridad hacia adelante con los sistemas de clave aislada que buscan minimizar el daño causado por un ataque actualizando la clave cada cierto tiempo. Pero para actualizar la clave interactúan con un dispositivo físicamente protegido, el cual mantiene una clave secreta maestra que se mantiene fija en todos los periodos.

Implicaciones

Para que pueda haber secreto perfecto hacia adelante, la clave usada para proteger la transmisión de datos no se puede usar para derivar ninguna otra clave adicional, lo cual implica que si una clave usada para proteger la transmisión de datos fue derivada de cierto 'material clave', entonces ese material no puede ser usado para derivar ninguna otra clave más.

Ámbitos de uso

El concepto de perfect forward secrecy fue introducido por Whitfield Diffie, Paul van Oorschot y Michael J. Wiener para describir la propiedad de un tipo de esquemas de establecimiento de claves en la que para conseguir el secreto a largo plazo usa claves privadas.^[6] Desde entonces esta propiedad ha sido ampliamente usada en distintos campos:

Para describir la propiedad establecimiento de claves donde el secreto a largo plazo se basa en el uso de contraseñas compartidas (password-authenticated key agreement).^[7]
En el campo de la firma digital (firma segura adelante) y del cifrado de clave pública (cifrado de clave pública seguro adelante).
En las redes que persiguen el anonimato se busca que cumplan esta propiedad para que el tráfico del pasado no pueda ser traceado y descubrir el emisor y el destinatario aunque se rompa la seguridad de las claves. Por ejemplo la red Tor tiene esta propiedad.^[8]
En protocolos de mensajería instantánea. Por ejemplo el protocolo Off-the Record Messaging tiene esta propiedad.^[2]

Véase también

Referencias

↑ López, Manuel J. Lucena (26 de junio de 2015). «Criptografía y Seguridad: Secreto (casi) Perfecto Hacia Adelante». Criptografía y Seguridad. Consultado el 26 de junio de 2018.
↑ ^a ^b N. Borisov et al."Off-the-Record Communication, or Why Not To Use PGP"
↑ IEEE 1363-2000: IEEE Standard Specifications For Public Key Cryptography Archivado el 1 de diciembre de 2014 en Wayback Machine.. Institute of Electrical and Electronics Engineers, 2000.
↑ Telecom Glossary 2000, T1 523-2001, Alliance for Telecommunications Industry Solutions (ATIS) Committee T1A1. http://www.atis.org/tg2k/_perfect_forward_secrecy.html Archivado el 11 de diciembre de 2007 en Wayback Machine.
↑ Ran Canetti et al. "A Forward-Secure Public-Key Encryption Scheme"
↑ Diffie, Whitfield; van Oorschot, Paul C.; Wiener, Michael J. (junio de 1992). «Authentication and Authenticated Key Exchanges». Designs, Codes and Cryptography 2 (2): 107. doi:10.1007/BF00124891. Consultado el 11 de febrero de 2008.
↑ Jablon, David P. (octubre de 1996). «Strong Password-Only Authenticated Key Exchange». ACM Computer Communication Review 26 (5): 5-26. doi:10.1145/242896.242897. Consultado el 11 de febrero de 2008.
↑ M. Backes, Ian Goldberg,"Provably Secure and Practical Onion Routing"

Enlaces externos

H. Orman. The OAKLEY Key Determination Protocol. IETF RFC 2412.
Gene Itkis,"Forward Security. Adaptive Cryptography: Time Evolution Archivado el 27 de septiembre de 2011 en Wayback Machine.".
Desplegando forward secrecy, SSL Labs, en inglés, 25 de junio de 2013.

Datos: Q935662

[1] López, Manuel J. Lucena (26 de junio de 2015). «Criptografía y Seguridad: Secreto (casi) Perfecto Hacia Adelante». Criptografía y Seguridad. Consultado el 26 de junio de 2018.

[OTR-2] N. Borisov et al."Off-the-Record Communication, or Why Not To Use PGP"

[3] IEEE 1363-2000: IEEE Standard Specifications For Public Key Cryptography Archivado el 1 de diciembre de 2014 en Wayback Machine.. Institute of Electrical and Electronics Engineers, 2000.

[4] Telecom Glossary 2000, T1 523-2001, Alliance for Telecommunications Industry Solutions (ATIS) Committee T1A1. http://www.atis.org/tg2k/_perfect_forward_secrecy.html Archivado el 11 de diciembre de 2007 en Wayback Machine.

[5] Ran Canetti et al. "A Forward-Secure Public-Key Encryption Scheme"

[6] Diffie, Whitfield; van Oorschot, Paul C.; Wiener, Michael J. (junio de 1992). «Authentication and Authenticated Key Exchanges». Designs, Codes and Cryptography 2 (2): 107. doi:10.1007/BF00124891. Consultado el 11 de febrero de 2008.

[7] Jablon, David P. (octubre de 1996). «Strong Password-Only Authenticated Key Exchange». ACM Computer Communication Review 26 (5): 5-26. doi:10.1145/242896.242897. Consultado el 11 de febrero de 2008.

[8] M. Backes, Ian Goldberg,"Provably Secure and Practical Onion Routing"

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]