Welches Schlüsselaustauschverfahren bietet bei TLS die Eigenschaft, dass zuvor aufgezeichnete Kommunikation auch dann nicht entschlüsselt werden kann, wenn der private Schlüssel des Serverzertifikats später abfließt (Forward Secrecy)?

Antwort: A. Ein Schlüsselaustausch wie ECDHE, der für jede Verbindung Einmalwerte erzeugt

Das letzte E in ECDHE steht für ephemeral (kurzlebig, einmalig): Für jede Verbindung wird ein Schlüsselaustausch mit neuen geheimen Werten durchgeführt, die danach verworfen werden. Der private Schlüssel des Zertifikats dient nur zum Signieren; selbst wenn er später abfließt, lassen sich die gemeinsamen Geheimnisse früherer Verbindungen nicht berechnen. Bei einem Verfahren dagegen, das Schlüsselmaterial mit dem öffentlichen RSA-Schlüssel des Servers verschlüsselt sendet, kann mit aufgezeichnetem Verkehr und einem später abgeflossenen privaten Schlüssel die gesamte frühere Kommunikation entschlüsselt werden. TLS 1.3 hat dieses Verfahren abgeschafft; der Schlüsselaustausch beruht grundsätzlich auf (EC)DHE mit Forward Secrecy (außer bei Wiederaufnahme einer Verbindung allein mit einem Pre-Shared Key).