关于pfs（完全 正向加密技术）的理解基于OpenSSL

苹果总是引领最新技术的前进，最近苹果客户开发端要求访问https网站时，需要加入pfs完全正向加密技术

所谓完全的正向加密技术，就是向前看，以前的看不到。我们可以简单地理解为即使你把秘钥破解了，你也只能看到当前的数据信息，而不能追溯以前的对话信息，以避免最大的损失。那么专业的说就是要求一个密钥只能访问由它所保护的数据；用来产生密钥的元素一次一换，不能再产生其他的密钥；一个密钥被破解，并不影响其他密钥的安全性。设计旨在长期使用密钥不能确保起安全性的情况下而不影响过去会话的保密性。

而OpenSSL则是开源的SSL套件，作为一个多用途的、跨平台的通信加密工具，为全球成千上万的web服务器所使用。Web服务器正是通过它来将密钥发送给访客然后在双方的连接之间对信息进行加密。URL中使用https打头的连接都采用了SSL加密技术。在线购物、网银等活动均采用SSL技术来防止窃密及避免中间人攻击。

但现在，OpenSSL自己出现了漏洞，而且是非常高危胁的漏洞，直接导致了本该是让为了更安全的设置变成了致命的危险。利用这个漏洞，黑客可以轻松获得用户的cookie，甚至明文的帐号和密码。

OpenSSL一共提供了8种对称加密算法，其中7种是分组加密算法，仅有的一种流加密算法是RC4。这7种分组加密算法分别是AES、DES、Blowfish、CAST、IDEA、RC2、RC5，都支持电子密码本模式（ECB）、加密分组链接模式（CBC）、加密反馈模式（CFB）和输出反馈模式（OFB）四种常用的分组密码加密模式。其中，AES使用的加密反馈模式（CFB）和输出反馈模式（OFB）分组长度是128位，其它算法使用的则是64位。事实上，DES算法里面不仅仅是常用的DES算法，还支持三个密钥和两个密钥3DES算法。

OpenSSL一共实现了4种非对称加密算法，包括DH算法、RSA算法、DSA算法和椭圆曲线算法（EC）。DH算法一般用户密钥交换。RSA算法既可以用于密钥交换，也可以用于数字签名，当然，如果你能够忍受其缓慢的速度，那么也可以用于数据加密。DSA算法则一般只用于数字签名。

SSL协议的工作流程（ssl原理）： 
服务器认证阶段：1）客户端向服务器发送一个开始信息（例如“你好，在吗？”）以便开始一个新的会话连接；2）服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的（“你好，在吗？”）信息时将包含生成主密钥所需的信息；3）客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；4）服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。 
用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。
SSL会话的建立是基于IP地址实现的。

基于mongoose的https server也使用了OpenSSL套件，在网上搜索web 应用服务器配置PFS技术可以服务器选项控制密码套件，由于没有搞过服务器，很难理解。