Google 为 https 服务启用 PFS 特性

Google 去年就开始为很多服务推送 https 协议，也就是说不论用户在选项中如何设置，总会访问到网站的加密版本。在这以前，https 只是服务设置中的可选项。譬如说 Gmail 用户 2008 年就可以为账号启用 https，强制使用加密版本。

https 可加密用户计算机与服务器之间的流量。最核心的益处就是保护数据免遭网络窥探。只要网站支持 https，如果使用公用计算机或处于网络当中，而不想让 ISP 或老板知道你在做什么，访问网站的加密版将带来诸多便利。

而在昨天，Google 宣布默认启用更为保密的 PFS 特性。

支持 https 的大多数网站所采用的加密模式不够极端，有被追溯破解的风险。换而言之，加密不可读的电子邮件可能会在传输到用户计算机的过程中被记录下来。十年内，计算机运算速度更快，服务器的密钥可能会被破解，当今的电子邮件流量也将能追溯解密。

极端保密特性（PFS）要求不对连接密钥进行持久存储。破解单个密钥也无法解密数个月的流量；事实上，即使是服务器操作员也无法追溯破解 https 会话。

PFS 特性能在本质上确保攻击者无法使用未来获取的密钥破解过去记录下来的数据。

包括 Google 电子邮箱（Gmail）、加密搜索、Google Docs 以及 Google+ 在内的使用 https 的 Google 服务均已支持该特性。

Chrome、Firefox （所有平台）以及 IE（Vista 或更高版本）支持采用“Diffie-Hellman 椭圆曲线机制”（ECDH）的 PFS。目前只有 Chrome 与 Firefox 访问 Google 服务会默认采用该特性，因为 IE 不支持同时采用 ECDHE 与 RC4。我们希望在将来支持 IE。

Google 还为开源的 OpenSSL 库实现了对该特性的支持。您可以在 Google 线上安全博客读到原始公告。

Via Ghacks

© musiXboy 发表于 谷奥——探寻谷歌的奥秘 ( http://www.guao.hk ), 2011. | 5 条评论 | 永久链接 | 关于谷奥 | 投稿/爆料
Post tags: Chrome, Firefox, Gmail, Google Docs, Google Plus, https, IE, OpenSSL, PFS