TLS 1.3 握手详解

TLS（传输层安全）保护互联网上传输中的数据。每个 HTTPS 连接都使用 TLS。TLS 1.3 在 RFC 8446（2018 年）中标准化，移除了旧算法，并将握手往返次数从 2 次减少到 1 次。

客户端发送：TLS 版本（1.3）、一个随机的 32 字节随机数、支持的密码套件列表（例如 TLS_AES_256_GCM_SHA384），以及包含所支持组（X25519、P-256）ECDH 公钥的密钥共享扩展。

服务器选择密码套件和密钥共享组，生成自己的 ECDH 临时密钥对，并回复其公钥。此时双方都可以通过 ECDH 计算共享密钥。

TLS 1.3 按照密钥调度流程使用 HKDF（基于 HMAC 的密钥派生函数）：早期密钥 → 握手密钥 → 主密钥。每个阶段都会为客户端和服务器的握手流量以及应用程序数据派生独立的密钥。

服务器发送其证书、CertificateVerify（使用其私钥对握手转录进行的签名）以及完成消息（对转录进行的 HMAC）。所有这些内容都使用握手流量密钥加密。

客户端验证证书链，检查 CertificateVerify 签名，验证完成消息的 MAC，然后发送自己的完成消息。握手现在已在 1 次往返（1-RTT）内完成。

TLS 1.3 支持使用上一个会话中的预共享密钥（PSK）进行 0-RTT（零往返）恢复。客户端可以立即发送应用程序数据，但 0-RTT 数据缺少重放防护，因此应当具有幂等性。

TLS 1.3 只允许 AEAD 密码：AES-128-GCM-SHA256、AES-256-GCM-SHA384、ChaCha20-Poly1305-SHA256。它们全部使用 ECDHE 或 DHE 进行密钥交换。弱密码套件（RC4、3DES、CBC）已被移除。

握手完成后，所有数据都会封装在 TLS 记录中：5 字节标头（内容类型、版本、长度）加上经过 AEAD 加密的载荷。序列号是隐式的，会作为 AEAD 随机数的一部分使用，以防止重放。

由于 TLS 1.3 始终使用临时密钥交换（ECDHE），即使服务器的长期私钥泄露，也无法解密过去的会话。每个会话都有一个独特的临时密钥对，并会在握手完成后销毁。

在 Wireshark 中：ClientHello 显示随机数和 key_share；ServerHello 显示选定的组；后续记录显示为“应用程序数据”（已加密）。导出 SSLKEYLOGFILE 后，即可使用会话密钥进行解密。

TLS 1.3 将 ECDHE、HKDF、AEAD 密码和基于证书的身份验证组合起来，实现了具有强制前向保密的 1-RTT 握手。接下来：深入学习 TLS 记录层和密码套件。