Clé de session

Une clé de session chiffre le trafic d'une connexion, par exemple une session TLS, et disparaît à sa fermeture. Elle est généralement convenue par un échange de clés comme Diffie–Hellman. Avec la confidentialité persistante (forward secrecy), la clé ne peut pas être reconstituée, même à partir des clés à long terme, et une clé de session divulguée n'expose que cette session.

Une clé de session n'est toutefois aussi secrète que sa génération. Un mauvais générateur aléatoire ou un nonce réutilisé par erreur peut rendre les clés prévisibles, ce qui s'est déjà vu dans des systèmes réels.