Handshake TLS 1.3 passo dopo passo

TLS (Transport Layer Security) protegge i dati in transito su Internet. Ogni connessione HTTPS utilizza TLS. TLS 1.3, standardizzato nella RFC 8446 (2018), ha eliminato gli algoritmi obsoleti e ha ridotto da 2 a 1 il numero di andate e ritorni dell'handshake.

Il client invia: la versione TLS (1.3), un nonce casuale di 32 byte, un elenco delle suite di cifratura supportate (ad esempio TLS_AES_256_GCM_SHA384) ed estensioni key share contenenti chiavi pubbliche ECDH per i gruppi supportati (X25519, P-256).

Il server seleziona una suite di cifratura e un gruppo key share, genera la propria coppia di chiavi ECDH effimere e risponde con la chiave pubblica. A questo punto entrambi i lati possono calcolare il segreto condiviso tramite ECDH.

TLS 1.3 utilizza HKDF (HMAC-based Key Derivation Function) in una sequenza: early secret → handshake secret → master secret. Ogni fase deriva chiavi separate per il traffico di handshake del client e del server e per i dati dell'applicazione.

Il server invia Certificate, CertificateVerify (una firma sulla trascrizione dell'handshake effettuata con la propria chiave privata) e Finished (un HMAC sulla trascrizione). Il tutto viene cifrato con la chiave del traffico di handshake.

Il client verifica la catena dei certificati, controlla la firma CertificateVerify, verifica il MAC Finished e poi invia il proprio messaggio Finished. L'handshake è ora completo in una sola andata e ritorno (1-RTT).

TLS 1.3 supporta la ripresa 0-RTT (zero round-trip) utilizzando una chiave precondivisa (PSK) proveniente da una sessione precedente. Il client può inviare immediatamente i dati dell'applicazione, ma i dati 0-RTT non dispongono di protezione dai replay e dovrebbero essere idempotenti.

TLS 1.3 impone esclusivamente cifrari AEAD: AES-128-GCM-SHA256, AES-256-GCM-SHA384, ChaCha20-Poly1305-SHA256. Tutti utilizzano ECDHE o DHE per lo scambio delle chiavi. Le suite deboli (RC4, 3DES, CBC) sono state eliminate.

Dopo l'handshake, tutti i dati vengono racchiusi in record TLS: intestazione di 5 byte (tipo di contenuto, versione, lunghezza) + payload cifrato con AEAD. Il numero di sequenza è implicito e viene utilizzato come parte del nonce AEAD per impedire i replay.

Poiché TLS 1.3 utilizza sempre uno scambio di chiavi effimere (ECDHE), la compromissione della chiave privata a lungo termine del server non consente di decifrare le sessioni passate. Ogni sessione ha una coppia di chiavi effimere univoca, distrutta dopo l'handshake.

In Wireshark: ClientHello mostra random + key_share; ServerHello mostra il gruppo selezionato; i record successivi vengono visualizzati come "Application Data" (cifrati). Esporti SSLKEYLOGFILE per decifrarli con le chiavi di sessione.

TLS 1.3 combina ECDHE, HKDF, cifrari AEAD e autenticazione basata su certificati in un handshake 1-RTT con segretezza in avanti obbligatoria. Prossimo argomento: il livello record TLS e le suite di cifratura in dettaglio.