แฮนด์เชก TLS 1.3 ทีละขั้นตอน

TLS (Transport Layer Security) ปกป้องข้อมูลระหว่างการส่งผ่านอินเทอร์เน็ต การเชื่อมต่อ HTTPS ทุกครั้งใช้ TLS ส่วน TLS 1.3 ซึ่งกำหนดมาตรฐานใน RFC 8446 (2018) ได้ยกเลิกอัลกอริทึมรุ่นเก่า และลดจำนวนรอบการสื่อสารระหว่างการจับมือจาก 2 เหลือ 1

ไคลเอ็นต์ส่งข้อมูลต่อไปนี้: รุ่นของ TLS (1.3), nonce แบบสุ่มขนาด 32 ไบต์, รายการชุดรหัสที่รองรับ (เช่น TLS_AES_256_GCM_SHA384) และส่วนขยายการแลกเปลี่ยนกุญแจที่มี public key ของ ECDH สำหรับกลุ่มที่รองรับ (X25519, P-256)

เซิร์ฟเวอร์เลือกชุดรหัสและกลุ่มการแลกเปลี่ยนกุญแจ สร้างคู่กุญแจชั่วคราวของ ECDH ขึ้นมาเอง แล้วตอบกลับด้วย public key ของตน ณ จุดนี้ทั้งสองฝ่ายสามารถคำนวณ secret ที่ใช้ร่วมกันผ่าน ECDH ได้

TLS 1.3 ใช้ HKDF (ฟังก์ชันอนุมานกุญแจที่อาศัย HMAC) ในตารางการสร้างกุญแจ: early secret → handshake secret → master secret แต่ละขั้นจะอนุมานกุญแจแยกกันสำหรับทราฟฟิกการจับมือของไคลเอ็นต์/เซิร์ฟเวอร์และข้อมูลแอปพลิเคชัน

เซิร์ฟเวอร์ส่ง Certificate, CertificateVerify (ลายเซ็นเหนือบันทึกการจับมือโดยใช้ private key ของเซิร์ฟเวอร์) และ Finished (HMAC เหนือบันทึกการจับมือ) โดยทั้งหมดถูกเข้ารหัสด้วยกุญแจทราฟฟิกของการจับมือ

ไคลเอ็นต์ตรวจสอบสายโซ่ใบรับรอง ตรวจสอบลายเซ็น CertificateVerify ตรวจสอบ MAC ของ Finished จากนั้นส่งข้อความ Finished ของตนเอง การจับมือเสร็จสมบูรณ์แล้วภายในการสื่อสารหนึ่งรอบ (1-RTT)

TLS 1.3 รองรับการกลับมาใช้เซสชันเดิมแบบ 0-RTT (การสื่อสารเป็นศูนย์รอบ) โดยใช้กุญแจที่ใช้ร่วมกันล่วงหน้า (PSK) จากเซสชันก่อนหน้า ไคลเอ็นต์สามารถส่งข้อมูลแอปพลิเคชันได้ทันที แต่ข้อมูลแบบ 0-RTT ไม่มีการป้องกันการเล่นซ้ำ จึงควรเป็นข้อมูลที่ทำซ้ำได้โดยไม่ทำให้ผลลัพธ์เปลี่ยนแปลง

TLS 1.3 กำหนดให้ใช้เฉพาะรหัส AEAD ได้แก่ AES-128-GCM-SHA256, AES-256-GCM-SHA384 และ ChaCha20-Poly1305-SHA256 ทั้งหมดใช้ ECDHE หรือ DHE สำหรับการแลกเปลี่ยนกุญแจ ชุดรหัสที่อ่อนแอ เช่น RC4, 3DES และ CBC ถูกยกเลิกแล้ว

หลังการจับมือ ข้อมูลทั้งหมดจะถูกห่อหุ้มในระเบียน TLS ได้แก่ ส่วนหัวขนาด 5 ไบต์ (ชนิดเนื้อหา รุ่น และความยาว) รวมกับ payload ที่เข้ารหัสด้วย AEAD หมายเลขลำดับจะไม่ถูกส่งโดยตรง แต่ใช้เป็นส่วนหนึ่งของ nonce ของ AEAD เพื่อป้องกันการเล่นซ้ำ

เนื่องจาก TLS 1.3 ใช้การแลกเปลี่ยนกุญแจชั่วคราวเสมอ (ECDHE) การที่ private key ระยะยาวของเซิร์ฟเวอร์ถูกเปิดเผยจึงไม่ทำให้สามารถถอดรหัสเซสชันที่ผ่านมาได้ แต่ละเซสชันมีคู่กุญแจชั่วคราวที่ไม่ซ้ำกัน และคู่กุญแจนี้จะถูกทำลายหลังการจับมือ

ใน Wireshark: ClientHello แสดง random + key_share ส่วน ServerHello แสดงกลุ่มที่เลือก ระเบียนถัดไปจะแสดงเป็น "Application Data" (เข้ารหัส) ให้ส่งออก SSLKEYLOGFILE เพื่อถอดรหัสด้วยกุญแจของเซสชัน

TLS 1.3 ผสาน ECDHE, HKDF, ชุดรหัส AEAD และการยืนยันตัวตนโดยใช้ใบรับรองเข้ากับการจับมือแบบ 1-RTT ซึ่งมีความลับส่งต่อเป็นข้อบังคับ ขั้นต่อไป: ชั้นระเบียน TLS และชุดรหัสในรายละเอียด