前向保密与秘密擦除

长期签名密钥负责“我是谁”，临时DH秘密负责“这一次共享秘密是什么”。如果两份职责分离，攻击者后来拿到签名私钥，可以冒充未来的身份，却未必能从历史公开DH值计算过去的共享值。

擦除把过去与现在断开：若旧临时指数还藏在崩溃转储、快照或备份里，后来拿到设备的人就可能获得它。数学式中写“令变量消失”与操作系统真正清掉所有副本，是两项不同义务。

对临时DH会话，公开记录是 $X=g^a,Y=g^b$ 以及认证这些值的签名，共享值为 $g^{ab}$。会后泄漏长期签名私钥，并不直接给出 $a$ 或 $b$；在相应DH/KDF与认证假设下，历史密钥仍可保持保密。若同时得到 $a$，就立即算 $Y^a$，无需破解签名或离散对数。

与之比较，若每个会话都是用长期解密公钥加密随机会话密钥，攻击者保存密文，日后得到长期解密私钥即可解开全部历史封装。即使每次会话密钥都独立随机、每条密文当时都满足CCA安全，也不意味着在允许泄漏解密私钥的新游戏中安全。

还有一个常见边界：仅做 $K_{i+1}=H(K_i)$ 并擦除 $K_i$，可能在适当假设下保护被擦除的过去密钥；但攻击者若拿到当前 $K_i$，仍能沿链计算未来密钥。恢复未来安全需要加入攻击者不知道的新秘密，不能把单向更新与“遭入侵后自动恢复”混为一谈。

本单元固定测试种子全部公开，检查器无法提供前向保密证据。它只演算DH一致性和绑定；本页的泄漏时序需要安全证明，真实擦除还需平台、内存、备份与密钥管理证据。

会话结束时，应按协议删除临时指数、PRK、确认密钥与过期流量密钥，并知道哪些秘密仍为正在进行的记录所需。保留可恢复的流量密钥以续传，是另一个系统选择；如果其备份暴露，不能援引长期签名密钥泄漏安全来保护该会话。

TLS1.3的临时DH握手与PSK-only模式具有不同前向保密条件。过去会话安全也不阻止攻击者在长期身份密钥失陷后主动冒充未来对端；证书撤销或换身份密钥是另一个恢复过程。