Google 為https 服務啟用PFS 特性

Google 去年就開始為很多服務推送https 協議，也就是說不論用戶在選項中如何設置，總會訪問到網站的加密版本。在這以前，https 只是服務設置中的可選項。譬如說Gmail 用戶2008 年就可以為賬號啟用https，強制使用加密版本。

https 可加密用戶計算機與服務器之間的流量。最核心的益處就是保護數據免遭網絡窺探。只要網站支持https，如果使用公用計算機或處於網絡當中，而不想讓ISP 或老闆知道你在做什麼，訪問網站的加密版將帶來諸多便利。

而在昨天，Google 宣布默認啟用更為保密的PFS 特性。

支持https 的大多數網站所採用的加密模式不夠極端，有被追溯破解的風險。換而言之，加密不可讀的電子郵件可能會在傳輸到用戶計算機的過程中被記錄下來。十年內，計算機運算速度更快，服務器的密鑰可能會被破解，當今的電子郵件流量也將能追溯解密。

極端保密特性（PFS）要求不對連接密鑰進行持久存儲。破解單個密鑰也無法解密數個月的流量；事實上，即使是服務器操作員也無法追溯破解https 會話。

PFS 特性能在本質上確保攻擊者無法使用未來獲取的密鑰破解過去記錄下來的數據。

包括Google 電子郵箱（Gmail）、加密搜索、Google Docs 以及Google+ 在內的使用https 的Google 服務均已支持該特性。

Chrome、Firefox （所有平台）以及IE（Vista 或更高版本）支持採用“Diffie-Hellman 橢圓曲線機制”（ECDH）的PFS。目前只有Chrome 與Firefox 訪問Google 服務會默認採用該特性，因為IE 不支持同時採用ECDHE 與RC4。我們希望在將來支持IE。

Google還為開源的OpenSSL庫實現了對該特性的支持。您可以在Google線上安全博客讀到原始公告。

Via Ghacks