TLS 记录层与密码套件

TLS 记录层是 TLS 的传输子层。它会将数据分割成最大 16 KB 的记录，可选地进行压缩（仅限 TLS 1.2），使用 AEAD 加密，并添加 5 字节标头。

字节 0：ContentType（20=ChangeCipherSpec，21=Alert，22=Handshake，23=ApplicationData）。字节 1-2：旧版版本（TLS 1.2 兼容模式下为 0x0303）。字节 3-4：后续载荷的长度。

在 TLS 1.3 中，每条记录都使用 AEAD（例如 AES-GCM）加密。随机数通过将隐式序列号与流量 IV 进行 XOR 得到。AAD 是 5 字节的记录标头。认证标签会附加在末尾。

TLS_AES_128_GCM_SHA256 = 密钥交换（TLS 1.3 中隐式使用 ECDHE）+ AES-128-GCM（AEAD）+ SHA-256（用于 HKDF）。在 TLS 1.2 中，TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 会明确列出所有组件。

TLS 1.3 禁止使用：RC4（密钥流存在偏差）、3DES（中间相遇攻击、Sweet32）、CBC 模式（BEAST、Lucky13、POODLE）、NULL 加密、出口级（40 位）密码，以及 PRF 中的 MD5/SHA-1。现在只保留 AEAD 套件。

大型 TLS 记录会被拆分为不超过 16 KB 的分片。每个分片都会独立加密。接收方会先重新组装记录，再将其传递给应用层。分片边界不携带任何语义信息。

警报会作为 ContentType=21 的 TLS 记录发送。两个字节分别表示：级别（1=warning，2=fatal）+ 描述（0=close_notify，40=handshake_failure，42=bad_certificate，70=protocol_version）。致命警报会终止连接。

每条记录的序列号从 0 开始，每次递增 1。序列号会填充到 IV 的长度（GCM 为 12 字节），然后与流量 IV 进行异或。这样无需显式传输随机数，也能防止不同记录重复使用随机数。

如果需要 256 位安全性，优先选择 TLS_AES_256_GCM_SHA384。对于不具备 AES-NI 的移动设备或嵌入式设备，请使用 TLS_CHACHA20_POLY1305_SHA256。对于高度敏感且长期保存的数据，应避免使用 128 位加密套件。

DTLS（RFC 6347）针对 UDP 对 TLS 进行了调整。它在记录标头中加入序列号，处理乱序，并使用基于 cookie 的握手来防止 DoS 攻击。DTLS 用于 WebRTC、VPN 和 IoT 协议。

可以使用 ssl 模块或 scapy 抓取 TLS 记录。设置 SSLKEYLOGFILE 后，Wireshark 会自动解密记录。Python 的 ssl.SSLSocket.read() 会在应用层透明地完成解密。

在 TLS 1.3 的记录加密中，序列号可以防止什么问题？

您已经了解了 TLS 记录结构、AEAD 加密、随机数派生以及加密套件选择。下一步：了解 TLS 如何在握手期间验证服务器证书。