tls.cipher.no_pfs

Kein Perfect Forward Secrecy

Was wir prüfen

Wir prüfen, ob die ausgehandelte Chiffre Forward Secrecy bietet (auch Perfect Forward Secrecy, PFS). Forward Secrecy bedeutet, dass jede Sitzung einen einzigartigen kurzlebigen Schlüssel verwendet, sodass die Kompromittierung des langfristigen privaten Schlüssels vergangene Sitzungen nicht nachträglich entschlüsselbar macht. Chiffren mit ECDHE- oder DHE-Schlüsselaustausch bieten Forward Secrecy; reiner RSA-Schlüsselaustausch nicht.

Was dieses Ergebnis bedeutet

Der Server hat eine Chiffre ohne Forward Secrecy ausgehandelt — typischerweise einen reinen RSA-Schlüsselaustausch (z. B. TLS_RSA_WITH_AES_256_CBC_SHA). Wird der private Schlüssel des Servers jemals kompromittiert (gestohlen, geleakt oder per Gerichtsbeschluss erzwungen), kann ein Angreifer, der vergangene verschlüsselte Sitzungen aufgezeichnet hat, sie alle entschlüsseln.

Warum das wichtig ist

Nachträgliche Entschlüsselung. Ohne Forward Secrecy ist jede vergangene Sitzung, die mit dem Serverschlüssel verschlüsselt wurde, verwundbar, wenn dieser Schlüssel irgendwann leakt — selbst Jahre später.
Best Practice seit 2015. RFC 7525 (BCP 195) empfiehlt Forward Secrecy für alle TLS-Deployments. TLS 1.3 erzwingt es — dort existieren nur Chiffren mit ephemerem Schlüsselaustausch.
Schutz vor passiver Überwachung. Forward Secrecy schützt vor passivem Aufzeichnen und späterer Massenentschlüsselung — eine dokumentierte reale Bedrohung.

So behebst du das

Bevorzuge ECDHE-Chiffren. Für Postfix:

# /etc/postfix/main.cf
smtpd_tls_ciphers = medium
tls_medium_cipherlist = ECDHE+AESGCM:DHE+AESGCM:ECDHE+AES:DHE+AES:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES

Aktiviere TLS 1.3 — es erzwingt Forward Secrecy by Design. Keine TLS-1.3-Chiffre verwendet reinen RSA-Schlüsselaustausch.

Prüfe:

openssl s_client -starttls smtp -connect mail.example.com:25 \
    -servername mail.example.com 2>/dev/null | grep -E "Cipher|Protocol"
# Achte auf ECDHE oder DHE im Chiffre-Namen

So fließt es in die Bewertung ein

Fehlendes Forward Secrecy kostet 15 Punkte in der TLS-Kategorie. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.

Evidenzbeispiel

Ausgehandelte Chiffre: TLS_RSA_WITH_AES_256_CBC_SHA256
Schlüsselaustausch: RSA (kein Forward Secrecy)