前向保密是什么
前向保密（PFS，也称完全前向保密 FS）指：即使服务器的长期私钥将来泄露，攻击者也无法解密此前录下的历史会话流量。实现方式是每次连接都用临时密钥做密钥交换（DHE 或 ECDHE），会话结束即丢弃，长期私钥只用于签名证明身份、不用于加密数据。TLS 1.3 已把这一点变成强制要求。
基本信息
| 定义 | 长期密钥泄露不影响历史会话的机密性 |
|---|---|
| 实现方式 | DHE / ECDHE 临时密钥交换，TLS 1.3 强制 |
| 不具备的方式 | RSA 密钥传输（TLS_RSA_* 套件） |
| 验证手段 | openssl s_client 输出中的 Server Temp Key 字段 |
| 规范依据 | RFC 8446 §1.2、NIST SP 800-52 Rev.2 |
| 合规要求 | 等保与多数安全评审将其列为硬性指标 |
典型使用场景
- 安全评审与合规检查：确认线上套件全部具备前向保密
- 加固老旧服务：把只支持 RSA 密钥传输的配置换成 ECDHE 系列
- 历史流量保密性评估：判断过去录制的流量在私钥泄露后是否仍安全
- 证书轮换规划：明确「换私钥」与「历史流量安全」是两件不同的事
- 客户端兼容性取舍：在保留 ECDHE 的前提下再考虑兼容老版本
验证是否具备 PFS
验证是否具备 PFS
# Server Temp Key 存在即为临时密钥交换，具备前向保密
openssl s_client -connect example.com:443 </dev/null 2>/dev/null | grep -i -E 'cipher|temp key'
# 典型输出：TLS_AES_128_GCM_SHA256 与 X25519，属于具备 PFS 的组合
# 显式指定 ECDHE 套件测试客户端与服务器是否都支持
openssl s_client -cipher 'ECDHE-RSA-AES128-GCM-SHA256' -connect example.com:443 </dev/null >/dev/null && echo pfs-ok
# 检查是否仍残留不具备 PFS 的套件
nmap --script ssl-enum-ciphers -p 443 example.com | head -40密钥交换方式对比
| 方式 | 前向保密 | 现状 |
|---|---|---|
| RSA 密钥传输 | 不具备 | TLS 1.2 中仍可用但不推荐，1.3 已移除 |
| DHE | 具备 | 计算开销较大，实际使用较少 |
| ECDHE | 具备 | 主流首选，常用 P-256 与 X25519 |
| PSK | 取决于密钥来源 | TLS 1.3 会话恢复使用，需评估密钥生命周期 |
如果配置里残留 TLS_RSA_* 套件，攻击者只要录下流量、之后拿到服务器私钥，就能解密这些会话；对长期敏感业务而言这属于必须消除的风险点。
会话恢复（session ticket）会把会话密钥的保护责任转移到 ticket 密钥上：ticket 密钥长期不轮换，等同于把前向保密打了折扣，建议按周期轮换。