Generalmente, una clave simétrica se negocia sobre la marcha y se intercambia de forma segura entre el navegador y el servidor. Se explica un protocolo que permite a las personas hacer esto (intercambio de claves Diffie-Hellman) en este excelente video de YouTube: enlace .
Los datos aleatorios para eso se derivan utilizando cualquier número de métodos; Ciertamente no es estático, y generalmente no tendrá mucho que ver con la hora actual. El ejemplo clásico es usar la cantidad de microsegundos desde el momento, lo cual es algo que no ayuda saber la hora del día al segundo. Otras fuentes incluyen la sincronización de ciertos eventos (pulsaciones de teclas y accesos a disco, como es común en Linux), el número de fotones reflejados por un espejo semitransparente en algún momento (entropía derivada del cuanto, como la que utilizan muchos aceleradores de SSL), o la acción de una metaestable oscilador (el intel DRBG), y varias otras cosas. Estos datos aleatorios se recopilan cada vez que se requieren, aunque en la práctica a veces se pueden almacenar en un grupo para su uso posterior (lo que también puede ser una vulnerabilidad, pero ese es otro tema).
Dado que la clave es bastante aleatoria, necesitas hacer mucha fuerza bruta para obtenerla. Si maximiza la cantidad de entropía que podría usar para su clave, y el cifrado usó una clave de 256 bits (AES-256, etc.), tendría que intentar muchas veces (2 ^ 256 * 0.50 intentos darían tienes un 50% de probabilidad de recuperar la llave). En la práctica, muchas personas usan menos entropía que esto y construyen el resto de la clave de manera determinista, lo que significa que si solo usaran 64 bits de entropía, la fórmula cambiaría a 2 ^ 64 * 0.50, siempre y cuando sepa exactamente cómo La clave estaba siendo generada. Para el intercambio de claves DH, como mencioné anteriormente, las matemáticas son un poco más complejas porque debes tener en cuenta el hecho de que estás eligiendo dos números aleatorios y no uno.
Esta es una gran cantidad de claves, y las probabilidades de que la mayoría de los atacantes rompan una por fuerza bruta antes de que dejes de usarla son mínimas.