Secreto hacia adelante para una VPN: qué puede abrir una clave robada

Grabe hoy un túnel cifrado, robe el año que viene la clave privada de largo plazo del servidor e intente descifrar la grabación. El secreto hacia adelante es la propiedad que dice que la clave robada no bastará por sí sola. Es una afirmación sobre sesiones grabadas y secretos concretos, no una promesa general de que el túnel fuera seguro. Acertar con el alcance es lo que hace útil el término.

La pregunta trata de una grabación, no de la sesión en vivo

La clave de largo plazo identifica el extremo y firma el handshake. Las claves de sesión cifran el tráfico real y, en un diseño con secreto hacia adelante, se derivan de material fresco de intercambio de claves que ambas partes generan y luego descartan. Un atacante que solo tiene la clave de largo plazo no puede reconstruir esos valores descartados. Un atacante que tiene el estado de sesión en vivo todavía puede, y por eso la garantía trata del pasado y no del presente.

La afirmación es condicional: solo se cumple si los secretos efímeros realmente se destruyeron y el protocolo es el que usted cree. Un despliegue mixto puede cumplirla en un túnel y fallar en otro.

Un secreto no debe reconstruir los demás

Compruebe el modo negociado en lugar de la página de marketing. La salida del handshake nombra el intercambio de claves y la versión del protocolo.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

El resumen de s_client muestra la versión de TLS y el grupo de intercambio de claves, y un grupo efímero es la señal visible de un acuerdo de claves con secreto hacia adelante. El listado de swanctl muestra las asociaciones IKE y CHILD con sus temporizadores de renovación de claves, así que puede ver si el despliegue renueva las claves según un calendario. Un intercambio de claves RSA estático, o un modo de compatibilidad antiguo, pierde la propiedad sea cual sea el nombre del cifrado. Anote el modo que observó, no el que anunciaba el proveedor.

Renovar las claves no es automáticamente secreto hacia adelante

Con qué frecuencia renueva las claves un túnel es una cuestión separada de cómo se deriva cada clave. Un diseño que regenera claves a partir de un secreto de largo plazo puede renovarlas cada minuto y aun así fallar la prueba, porque un compromiso posterior las reconstruye todas. A la inversa, un protocolo con renovación poco frecuente puede seguir teniendo secreto hacia adelante cuando cada intercambio es independiente. Lea la derivación, no el intervalo, y no confunda un temporizador corto de reconexión con una garantía criptográfica.

La misma confusión aparece con los nombres de cifrado: un cifrado moderno no dice nada sobre cómo llegó su clave.

Qué queda visible después de la garantía

El secreto hacia adelante protege el texto plano de las sesiones grabadas frente a un compromiso futuro de claves, y no hace nada contra un atacante que lee el tráfico en vivo en un extremo comprometido. No elimina de la grabación las direcciones de destino, el momento ni el volumen, y no limita cuánto tiempo un operador conserva los registros de conexión. Tampoco convierte a un cliente comprometido en uno fiable, porque el atacante ya está donde el contenido existe en claro.

Cuando un proveedor afirma tener secreto hacia adelante, pregunte qué secreto de largo plazo se supone robado y qué secretos de sesión siguen sin estar disponibles. Si esas dos preguntas tienen respuestas claras, la afirmación significa algo.