什麼是前向保密（完美前向保密）？

2026-05-08

forward-secrecypfsecdhetlssecurity

前向保密（也稱為完美前向保密 / PFS）是 TLS 連線的一種屬性，保證：即使伺服器的私鑰將來被洩露，過去的加密通訊也無法被解密。

它透過為每個連線生成唯一的臨時金鑰來實現。連線結束後，臨時金鑰被丟棄。沒有人——包括伺服器所有者——能夠重新生成它。

為什麼前向保密很重要

沒有前向保密時（RSA 金鑰交換）

Attacker records encrypted traffic today
     ↓
Years later, attacker steals server's RSA private key
     ↓
Attacker decrypts ALL recorded traffic — passwords, messages, everything

使用靜態 RSA 金鑰交換（TLS 1.2 不帶 ECDHE）時，相同的伺服器私鑰用於解密每個會話。如果該金鑰被竊取，過去的所有對話都會暴露。

有前向保密時（ECDHE 金鑰交換）

Attacker records encrypted traffic today
     ↓
Years later, attacker steals server's private key
     ↓
Can't decrypt past traffic — each session used a unique ephemeral key
that was discarded after the session ended

每個連線生成一個新的 Diffie-Hellman 金鑰對，計算唯一的會話金鑰，並在完成後銷燬臨時金鑰。伺服器的長期私鑰僅用於身份認證（證明身份），而非金鑰交換（派生加密金鑰）。

技術原理

用戶端和伺服器各自生成臨時 ECDHE 金鑰對（隨機的，每連線一個）
雙方交換這些臨時金鑰的公鑰部分
雙方使用自己的臨時私鑰 + 對方的臨時公鑰計算相同的共享金鑰（這是 Diffie-Hellman 數學原理）
共享金鑰派生出會話金鑰，用於 AES 加密
會話金鑰派生後臨時金鑰被丟棄

伺服器證書的私鑰僅用於簽名握手訊息——證明伺服器是真實的。它永遠不會用於解密流量。

各 TLS 版本中的前向保密

TLS 版本	前向保密	備註
SSL 3.0	❌ 不可用	僅 RSA 金鑰交換
TLS 1.0	⚠️ 可選	支援 ECDHE 但非必需
TLS 1.1	⚠️ 可選	與 TLS 1.0 相同
TLS 1.2	⚠️ 可選（但推薦）	取決於密碼套件——ECDHE = 是，RSA = 否
TLS 1.3	✅ 強制	RSA 金鑰交換被完全移除

TLS 1.3 透過移除 RSA 金鑰交換解決了這個問題——所有 TLS 1.3 連線預設具備前向保密，無需配置。

如何檢查你的伺服器是否有前向保密

# Check which key exchange your server uses
echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | grep -E "Server Temp Key|Protocol"

查詢：

Server Temp Key: ECDH, P-256 → ✅ 前向保密（ECDHE）
Server Temp Key: X25519 → ✅ 前向保密
沒有 Server Temp Key 行 → ❌ RSA 金鑰交換，無前向保密

在 TLS 1.2 中確保前向保密

Nginx：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers off;

所有密碼套件都以 ECDHE 開頭——臨時金鑰交換。

Apache：

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off