TLS 1.3-handshake og 0-RTT-genoptagelse

TLS 1.3, der blev udgivet i 2018 (RFC 8446), blev designet til at løse de svagheder, der havde ophobet sig i TLS 1.2 gennem et årti med angreb i den virkelige verden. Tidligere versioner tillod forhandling af svage chifferpakker, understøttede kryptografi på eksportniveau og krævede flere rundrejser, før data kunne flyde. TLS 1.3 fjerner alle forældede algoritmer og strømliner håndtrykket til én rundrejse i det normale tilfælde, hvilket forbedrer både sikkerhed og ydeevne markant.

I TLS 1.3 gennemfører klienten og serveren håndtrykket med 1-RTT (én rundrejse). Klienten sender en ClientHello, der indeholder understøttede chifferpakker og en nøgledeling (ved hjælp af Diffie-Hellman). Serveren svarer med en ServerHello, sin egen nøgledeling, et certifikat og de første krypterede applikationsdata — alt sammen i én transmission. Klienten verificerer derefter certifikatet og sender en Finished-meddelelse, før applikationsdata udveksles.

TLS 1.3 kræver ephemeral nøgleudveksling — RSA-nøgleudveksling er fjernet helt. Al nøgleudveksling skal bruge ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) eller DHE (Diffie-Hellman Ephemeral). Ordet »ephemeral« betyder, at der genereres et nyt nøglepar for hver session. Dette er grundlaget for perfect forward secrecy: Hvis serverens langsigtede private nøgle kompromitteres, kan tidligere sessioner ikke dekrypteres, fordi hver session brugte en unik midlertidig nøgle.

Perfect Forward Secrecy (PFS) sikrer, at en angriber, som i dag optager al krypteret trafik og på et senere tidspunkt får fat i serverens private nøgle, stadig ikke kan dekryptere gamle sessioner. I TLS 1.2 med RSA-nøgleudveksling kunne serverens private nøgle dekryptere pre-master-hemmeligheden i alle tidligere sessioner — en katastrofal svaghed. TLS 1.3's ephemeral DH-nøgler betyder, at hver session udleder sine egne nøgler, og at disse ephemeral-nøgler kasseres efter brug.

TLS 1.2 understøttede over 300 chifferpakker, hvoraf mange var svage eller ødelagte. TLS 1.3 reducerer dette til blot fem chifferpakker, som alle bruger AEAD (Authenticated Encryption with Associated Data): TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_AES_128_CCM_SHA256 og TLS_AES_128_CCM_8_SHA256. Dette eliminerer hele angrebskategorier som BEAST, POODLE og FREAK, der udnyttede svag chifferforhandling.

0-RTT-genoptagelse (Zero Round Trip Time) er en valgfri funktion i TLS 1.3, som gør det muligt for en klient at sende applikationsdata i den allerførste meddelelse, før håndtrykket er gennemført. Det fungerer ved hjælp af en Pre-Shared Key (PSK) fra en tidligere session. Selvom 0-RTT reducerer ventetiden markant — hvilket er afgørende for API'er med høj trafik — medfører det en væsentlig afvejning: De tidlige data er ikke beskyttet mod replay-angreb.

I et replay-angreb mod 0-RTT-data kan en angriber, der opsnapper den tidlige datameddelelse, sende den til serveren igen og dermed muligvis udløse den samme handling to gange (f.eks. en betaling eller en tilstandsændring). TLS 1.3-specifikationen advarer udtrykkeligt om, at tidlige 0-RTT-data kun må indeholde idempotente operationer — operationer, der giver det samme resultat, uanset hvor mange gange de udføres, f.eks. en GET-anmodning. Ikke-idempotente operationer (POST, DELETE) bør aldrig bruge 0-RTT.

Efter et vellykket fuldt TLS 1.3-håndtryk sender serveren en NewSessionTicket-meddelelse, der indeholder en PSK (Pre-Shared Key), som klienten gemmer. Ved genforbindelse inkluderer klienten denne PSK i sin ClientHello ved hjælp af pre_shared_key-udvidelsen. Serveren genkender den og godkender enten 0-RTT-data eller falder tilbage til 1-RTT-genoptagelse. PSK-billetter er tidsbegrænsede og bør udskiftes hyppigt for at begrænse det tidsrum, hvor de kan være eksponeret.

En væsentlig forbedring i TLS 1.3 er, at det meste af håndtrykket er krypteret, herunder serverens certifikat. I TLS 1.2 blev serverens certifikat sendt i klartekst, så en netværksobservatør kunne identificere, hvilket domæne klienten oprettede forbindelse til. TLS 1.3 krypterer certifikatet og de fleste efterfølgende håndtryksmeddelelser, hvilket reducerer de metadata, som passive observatører kan se. Encrypted Client Hello (ECH) er en ny udvidelse, der også skjuler feltet SNI (Server Name Indication).

TLS 1.3 fjernede adskillige ældre funktioner, der var blevet til sikkerhedsproblemer: RSA-nøgleudveksling (ingen forward secrecy), chifferpakker i CBC-tilstand (sårbare over for padding-orakelangreb), RC4 (fuldstændig ødelagt stream-chiffer), kryptografi på eksportniveau (årsagen til FREAK og Logjam), MD5 og SHA-1 i digitale signaturer, komprimering (årsagen til CRIME) og genforhandling (årsagen til flere angreb). Ved at fjerne disse funktioner har TLS 1.3 fået en markant mindre angrebsflade.

Korrekt implementering af TLS 1.3 kræver, at webserveren konfigureres til at foretrække TLS 1.3, samtidig med at TLS 1.0 og 1.1 deaktiveres. De fleste moderne webservere (Nginx, Apache, IIS) understøtter TLS 1.3 indbygget. Du bør også sikre, at OCSP Stapling er aktiveret, så status for certifikattilbagekaldelse kan leveres uden at klienten kontakter CA'en, og at HSTS-headere forhindrer nedgraderingsangreb til HTTP. Brug værktøjer som SSL Labs til at kontrollere, at din konfiguration opnår vurderingen A+.

I denne lektion har du lært, at TLS 1.3 gennemfører håndtrykket med 1-RTT og kun bruger ephemeral DH-nøgleudveksling for at opnå perfect forward secrecy, at 0-RTT-genoptagelse muliggør hurtigere genforbindelse ved hjælp af PSK'er, men er sårbar over for replay-angreb og kun bør indeholde idempotente operationer, samt at TLS 1.3 fjerner alle svage ældre funktioner — RSA-nøgleudveksling, CBC-chiffre, RC4, kryptografi på eksportniveau og komprimering — hvilket reducerer angrebsfladen markant. Nu ser vi nærmere på algoritmer til godkendt kryptering som AES-GCM.