TLS-1.3-Handshake und 0-RTT-Wiederaufnahme

TLS 1.3, veröffentlicht im Jahr 2018 (RFC 8446), wurde entwickelt, um die Schwachstellen zu beheben, die sich über ein Jahrzehnt realer Angriffe in TLS 1.2 angesammelt hatten. Frühere Versionen erlaubten die Aushandlung schwacher Cipher-Suiten, unterstützten Kryptografie in Exportstärke und erforderten mehrere Round-Trips, bevor Daten übertragen werden konnten. TLS 1.3 entfernt alle veralteten Algorithmen und verkürzt den Handshake im Normalfall auf einen einzigen Round-Trip, wodurch sich sowohl die Sicherheit als auch die Leistung deutlich verbessern.

In TLS 1.3 schließen Client und Server den Handshake mit 1-RTT (einem Round-Trip) ab. Der Client sendet ein ClientHello, das unterstützte Cipher-Suiten und einen Key Share (unter Verwendung von Diffie-Hellman) enthält. Der Server antwortet mit einem ServerHello, seinem eigenen Key Share, einem Zertifikat und den ersten verschlüsselten Anwendungsdaten – alles in einer Übertragung. Anschließend überprüft der Client das Zertifikat und sendet eine Finished-Nachricht, bevor Anwendungsdaten ausgetauscht werden.

TLS 1.3 schreibt einen ephemeren Schlüsselaustausch vor – der RSA-Schlüsselaustausch wurde vollständig entfernt. Jeder Schlüsselaustausch muss ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) oder DHE (Diffie-Hellman Ephemeral) verwenden. Das Wort „ephemeral“ bedeutet, dass für jede Sitzung ein neues Schlüsselpaar erzeugt wird. Dies bildet die Grundlage für Perfect Forward Secrecy: Wenn der langfristige private Schlüssel des Servers kompromittiert wird, können vergangene Sitzungen dennoch nicht entschlüsselt werden, da jede Sitzung einen eigenen temporären Schlüssel verwendet hat.

Perfect Forward Secrecy (PFS) stellt sicher, dass ein Angreifer selbst dann keine alten Sitzungen entschlüsseln kann, wenn er heute den gesamten verschlüsselten Datenverkehr aufzeichnet und in Zukunft den privaten Schlüssel des Servers erlangt. Beim RSA-Schlüsselaustausch in TLS 1.2 konnte der private Schlüssel des Servers das Pre-Master-Secret jeder vergangenen Sitzung entschlüsseln – ein katastrophaler Fehler. Die ephemeren DH-Schlüssel von TLS 1.3 sorgen dafür, dass jede Sitzung ihre eigenen Schlüssel ableitet und diese ephemeren Schlüssel nach der Verwendung verworfen werden.

TLS 1.2 unterstützte mehr als 300 Cipher-Suiten, von denen viele schwach oder unsicher waren. TLS 1.3 reduziert diese Zahl auf nur fünf Cipher-Suiten, die allesamt AEAD (Authenticated Encryption with Associated Data) verwenden: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_AES_128_CCM_SHA256 und TLS_AES_128_CCM_8_SHA256. Dadurch werden ganze Angriffskategorien wie BEAST, POODLE und FREAK beseitigt, die schwache Aushandlungsverfahren für Cipher-Suiten ausnutzten.

Die 0-RTT-Wiederaufnahme (Zero Round Trip Time) ist eine optionale Funktion von TLS 1.3, mit der ein Client bereits in der allerersten Nachricht Anwendungsdaten senden kann, bevor der Handshake abgeschlossen ist. Dies funktioniert über einen Pre-Shared Key (PSK) aus einer vorherigen Sitzung. Zwar verringert 0-RTT die Latenz deutlich – was für APIs mit hohem Datenverkehr entscheidend sein kann –, doch entsteht dabei ein wesentlicher Nachteil: Die frühen Daten sind nicht gegen Replay-Angriffe geschützt.

Bei einem Replay-Angriff auf 0-RTT-Daten kann ein Angreifer, der die frühe Datennachricht abfängt, sie erneut an den Server senden und dadurch möglicherweise dieselbe Aktion zweimal auslösen (z. B. eine Zahlung oder eine Zustandsänderung). Die Spezifikation von TLS 1.3 warnt ausdrücklich davor, dass frühe 0-RTT-Daten ausschließlich idempotente Operationen enthalten dürfen – also Operationen, die unabhängig von der Anzahl ihrer Ausführungen dasselbe Ergebnis liefern, etwa eine GET-Anfrage. Nicht idempotente Operationen (POST, DELETE) sollten niemals 0-RTT verwenden.

Nach einem erfolgreichen vollständigen TLS-1.3-Handshake sendet der Server eine NewSessionTicket-Nachricht mit einem PSK (Pre-Shared Key), den der Client speichert. Bei einer erneuten Verbindung fügt der Client diesen PSK mithilfe der pre_shared_key extension in sein ClientHello ein. Der Server erkennt ihn und genehmigt entweder 0-RTT-Daten oder wechselt zur Wiederaufnahme mit 1-RTT. PSK-Tickets sind zeitlich begrenzt und sollten regelmäßig erneuert werden, um das Zeitfenster ihrer Gefährdung zu begrenzen.

Eine wesentliche Verbesserung in TLS 1.3 besteht darin, dass der größte Teil des Handshakes verschlüsselt ist, einschließlich des Serverzertifikats. In TLS 1.2 wurde das Serverzertifikat im Klartext übertragen, sodass ein Netzwerkbeobachter feststellen konnte, mit welcher Domain sich der Client verband. TLS 1.3 verschlüsselt das Zertifikat und die meisten nachfolgenden Handshake-Nachrichten, wodurch die für passive Beobachter verfügbaren Metadaten reduziert werden. Encrypted Client Hello (ECH) ist eine neue Erweiterung, die sogar das SNI-Feld (Server Name Indication) verbirgt.

TLS 1.3 entfernte zahlreiche veraltete Funktionen, die zu einem Sicherheitsrisiko geworden waren: RSA-Schlüsselaustausch (keine Forward Secrecy), CBC-Cipher-Suiten (anfällig für Padding-Oracle-Angriffe), RC4 (vollständig unsicherer Stromchiffre), Kryptografie in Exportstärke (Ursache von FREAK und Logjam), MD5 und SHA-1 in digitalen Signaturen, Komprimierung (Ursache von CRIME) und Renegotiation (Ursache mehrerer Angriffe). Durch deren Entfernung verfügt TLS 1.3 über eine deutlich kleinere Angriffsfläche.

Für die korrekte Bereitstellung von TLS 1.3 müssen Sie Ihren Webserver so konfigurieren, dass er TLS 1.3 bevorzugt und TLS 1.0 sowie 1.1 deaktiviert. Die meisten modernen Webserver (Nginx, Apache, IIS) unterstützen TLS 1.3 nativ. Sie sollten außerdem sicherstellen, dass OCSP Stapling aktiviert ist, damit der Status des Zertifikatwiderrufs bereitgestellt wird, ohne dass der Client die CA kontaktieren muss, und dass HSTS-Header Downgrade-Angriffe auf HTTP verhindern. Verwenden Sie Tools wie SSL Labs, um zu überprüfen, ob Ihre Konfiguration die Bewertung A+ erreicht.

Testen Sie Ihr Verständnis der Konzepte aus CompTIA Security+ (SY0-701) in dieser Lektion.

In dieser Lektion haben Sie gelernt: TLS 1.3 schließt den Handshake mit 1-RTT ab und verwendet für Perfect Forward Secrecy ausschließlich ephemeren DH-Schlüsselaustausch. Die 0-RTT-Wiederaufnahme ermöglicht über PSKs eine schnellere erneute Verbindung, ist jedoch anfällig für Replay-Angriffe und sollte nur idempotente Operationen übertragen. Außerdem entfernt TLS 1.3 alle veralteten schwachen Funktionen – RSA-Schlüsselaustausch, CBC-Cipher, RC4, Exportkryptografie und Komprimierung – und reduziert dadurch die Angriffsfläche deutlich. Als Nächstes betrachten wir authentifizierte Verschlüsselungsalgorithmen wie AES-GCM.