Perfect forward secrecy

PFS werd als eerste geïntroduceerd[1] door Diffie, Van Oorschot en Wiener, en werd gebruikt om een eigenschap van het Station-to-Station protocol (STS) te beschrijven, waarbij de langetermijngeheimen private keys zijn.

PFS is ook gebruikt[2] om de analoge eigenschap van wachtwoord geauthentiseerde sleutel overeenkomst protocollen te beschrijven, waarbij het langetermijngeheim een gedeeld wachtwoord is.

Annex D.5.1 van IEEE 1363-2000 bediscussieert de aan elkaar gerelateerde eenpartij- en tweepartijen-forwardsecrecy-eigenschappen van diverse standaardsleutelovereenkomstschema's.

Alice en Bob zijn met elkaar de session key ${\displaystyle k}$ overeengekomen. Nu willen ze graag forward secrecy over de door hun verstuurde berichten. Ze kiezen ervoor om voor het eerste bericht sleutel k te gebruiken, voor het 2^e bericht ${\displaystyle h(k)}$, voor het n^e bericht ${\displaystyle h^{n}(k)}$. ${\displaystyle h}$ is een hash functie die aan de volgende eisen voldoet:

One-wayness: Indien ${\displaystyle k}$ uit te rekenen is uit een gegeven ${\displaystyle h(k)}$, is het hele systeem onveilig. Alle voorgaande sleutels kunnen dan gewoon uitgerekend worden.

Collision resistance: Je wilt dat er telkens weer unieke nieuwe sleutels uit de hash-functie komen, indien ${\displaystyle h^{x}(k)=h^{x+n}(k)}$ blijft de reeks sleutels zich steeds herhalen, je kan dan met ${\displaystyle h^{x+n+k}(k)}$ behalve bericht ${\displaystyle x+n+k}$ ook ${\displaystyle x+k}$ ontsleutelen.

Op deze manier zal de hash-functie telkens een nieuwe sleutel opleveren, vanuit een nieuwe sleutel is de oude niet te berekenen.

Daarnaast is het van belang dat ze de oude sleutel verwijderen, indien ze deze bewaren kan een mogelijk persoon die inbreekt op de computer nog steeds alle sleutels verkrijgen.