Sigilo persistente para uma VPN: o que uma chave roubada pode abrir

Grave hoje um túnel cifrado, roube no próximo ano a chave privada de longo prazo do servidor e tente decifrar a gravação. O sigilo persistente é a propriedade que diz que a chave roubada não bastará sozinha. É uma afirmação sobre sessões gravadas e segredos específicos, não uma promessa geral de que o túnel fosse seguro. Acertar o âmbito é o que torna o termo útil.

A pergunta é sobre uma gravação, não sobre a sessão ativa

A chave de longo prazo identifica a extremidade e assina o handshake. As chaves de sessão cifram o tráfego real e, num desenho com sigilo persistente, derivam de material fresco de troca de chaves que ambos os lados geram e depois descartam. Um atacante que tem apenas a chave de longo prazo não consegue reconstruir esses valores descartados. Um atacante que tem o estado de sessão ativo ainda consegue, e é por isso que a garantia diz respeito ao passado e não ao presente.

A afirmação é condicional: só se verifica se os segredos efémeros foram realmente destruídos e se o protocolo é o que pensa. Uma implantação mista pode satisfazê-la num túnel e falhar noutro.

Um segredo não deve reconstruir os outros

Verifique o modo negociado em vez da página de marketing. A saída do handshake indica a troca de chaves e a versão do protocolo.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

O resumo do s_client mostra a versão de TLS e o grupo de troca de chaves, e um grupo efémero é o sinal visível de um acordo de chaves com sigilo persistente. A listagem do swanctl mostra as associações IKE e CHILD com os seus temporizadores de renovação de chaves, pelo que pode ver se a implantação renova as chaves segundo um calendário. Uma troca de chaves RSA estática, ou um modo de compatibilidade antigo, perde a propriedade independentemente do nome da cifra. Registe o modo que observou, não o que o fornecedor anunciava.

Renovar as chaves não é automaticamente sigilo persistente

A frequência com que um túnel renova as chaves é uma questão separada de como cada chave é derivada. Um desenho que regenera chaves a partir de um segredo de longo prazo pode renová-las a cada minuto e ainda falhar o teste, porque um compromisso posterior as reconstrói todas. Inversamente, um protocolo com renovação pouco frequente pode continuar a ter sigilo persistente quando cada troca é independente. Leia a derivação, não o intervalo, e não confunda um temporizador curto de reconexão com uma garantia criptográfica.

A mesma confusão aparece com os nomes das cifras: uma cifra moderna não diz nada sobre como chegou a sua chave.

O que permanece visível depois da garantia

O sigilo persistente protege o texto simples das sessões gravadas de um compromisso futuro de chaves, e não faz nada contra um atacante que lê tráfego ativo numa extremidade comprometida. Não remove da gravação os endereços de destino, o momento nem o volume, e não limita quanto tempo um operador guarda os registos de ligação. Também não torna fiável um cliente comprometido, porque o atacante já está onde o conteúdo existe em claro.

Quando um fornecedor afirma sigilo persistente, pergunte que segredo de longo prazo se assume roubado e que segredos de sessão permanecem indisponíveis. Se essas duas perguntas tiverem respostas claras, a afirmação significa algo.