成时间。PFS保证无论在哪一阶段，一个密钥只能使用一次，而且，生成密钥的"材料"也只能使用一次。某个"材料"在生成了一个密钥后，即被弃，绝不用来再生成任何其他密钥。这样可以确保一旦单个密钥泄密，最多只可能影响用该密钥加密的数据，而不会危及整个通信。
PFS分"主密钥"PFS和"会话密钥"PFS，启用"主密钥"PFS，IKE必须对通信实体进行重新认证，即一个IKE SA只能创建一个IPsec SA，对每一次第二阶段SA的协商，"主密钥"PFS都要求新的第一阶段协商，这将会带来额外的系统开销。因此使用它要格外小心。
然而，启用"会话密钥"PFS，可以不必重新认证，因此对系统资源要求较小。"会话密钥"PFS只要求为新密钥生成进行新的DH交换，即需要发送四个额外消息，但无须重新认证。 PFS不属于协商属性，不要求通信双方同时开启PFS。"主密钥"PFS和"会话密钥"PFS均可以各自独立设置。
数据载入中...
页码：[1] [2] [3] [4] [5] [6] [7] 第7页、共7页 |
