TLS 1.3ハンドシェイクをステップごとに学ぶ

TLS（Transport Layer Security）は、インターネット上で転送中のデータを保護します。すべてのHTTPS接続でTLSが使用されます。RFC 8446（2018）で標準化されたTLS 1.3では、従来のアルゴリズムが廃止され、ハンドシェイクの往復回数が2回から1回に減少しました。

クライアントは、TLSバージョン（1.3）、32バイトのランダムなノンス、サポートする暗号スイートの一覧（例：TLS_AES_256_GCM_SHA384）、およびサポートするグループ（X25519、P-256）のECDH公開鍵を含むkey share拡張を送信します。

サーバーは暗号スイートとkey shareグループを選択し、自身のECDH一時鍵ペアを生成して公開鍵を返します。この時点で、双方がECDHによって共有秘密を計算できます。

TLS 1.3は、early secret → handshake secret → master secretというスケジュールでHKDF（HMAC-based Key Derivation Function）を使用します。各段階で、クライアントとサーバーのハンドシェイクトラフィックおよびアプリケーションデータ用に別々の鍵を導出します。

サーバーは、Certificate、CertificateVerify（秘密鍵を使用してハンドシェイクトランスクリプトに署名したもの）、およびFinished（トランスクリプトに対するHMAC）を送信します。これらはすべてハンドシェイクトラフィック鍵で暗号化されます。

クライアントは証明書チェーンを検証し、CertificateVerifyの署名を確認し、Finished MACを検証してから、自身のFinishedメッセージを送信します。これでハンドシェイクは1回の往復（1-RTT）で完了します。

TLS 1.3は、以前のセッションの事前共有鍵（PSK）を使用した0-RTT（ゼロ往復）再開をサポートします。クライアントはすぐにアプリケーションデータを送信できますが、0-RTTデータにはリプレイ防止機能がなく、べき等である必要があります。

TLS 1.3ではAEAD暗号のみが必須です：AES-128-GCM-SHA256、AES-256-GCM-SHA384、ChaCha20-Poly1305-SHA256。すべてECDHEまたはDHEを鍵交換に使用します。RC4、3DES、CBCなどの弱いスイートは廃止されました。

ハンドシェイク後、すべてのデータはTLSレコードでラップされます。TLSレコードは5バイトのヘッダー（コンテンツタイプ、バージョン、長さ）とAEADで暗号化されたペイロードで構成されます。シーケンス番号は暗黙的に扱われ、リプレイを防ぐためにAEADノンスの一部として使用されます。

TLS 1.3は常に一時鍵交換（ECDHE）を使用するため、サーバーの長期秘密鍵が漏えいしても過去のセッションを復号できません。各セッションには一意の一時鍵ペアがあり、ハンドシェイク後に破棄されます。

Wiresharkでは、ClientHelloにrandomとkey_shareが表示され、ServerHelloに選択されたグループが表示されます。その後のレコードは「Application Data」（暗号化済み）として表示されます。セッション鍵を使用して復号するには、SSLKEYLOGFILEをエクスポートします。

TLS 1.3の完全なハンドシェイクには、何回の往復が必要ですか？

TLS 1.3は、ECDHE、HKDF、AEAD暗号、証明書ベースの認証を組み合わせ、前方秘匿性が必須の1-RTTハンドシェイクを実現します。次はTLSレコード層と暗号スイートについて詳しく学びます。