4. 会话密钥的生成与生命周期管理

会话密钥这东西，说白了就是TLS握手后双方用来加密实际数据的临时密码。你想想看，要是每次都用证书里的私钥去加密，那性能就完蛋了。所以TLS设计了一套精巧的机制，从预主密钥一路推导出会话密钥，再严格管理它的生老病死。我刚开始学TLS时，总觉得这些推导步骤多此一举，后来在调试一个性能瓶颈时才发现——少任何一步，安全或效率都会出问题。

4.1 会话密钥从哪里来？

会话密钥不是凭空产生的。它来自一个被称为“主密钥”（Master Secret）的中间产物。主密钥又是从预主密钥（Pre-Master Secret）通过伪随机函数（PRF）推导出来的。预主密钥在握手过程中由客户端生成，用服务器公钥加密后发送。嗯，这里要注意：预主密钥是核心机密，一旦泄露所有会话就完了。

主密钥的长度固定在48字节。TLS 1.2及其之前的版本使用PRF，基于HMAC-SHA256或HMAC-SHA384。TLS 1.3则简化了派生过程，但本质思路一样——从一个共享秘密逐步扩展出密钥材料。

这个PRF用的就是两个随机数+一个固定标签。客户端随机和服务端随机都参与其中，确保每次握手的会话密钥独一无二。我记得有一次项目里有人把随机数写成了固定值，结果所有连接都用同一套密钥——这种低级错误真的会要命。

4.2 从主密钥到会话密钥

有了主密钥，下一步就是派生出真正的会话密钥：加密密钥、MAC密钥（或AEAD的密钥）、初始化向量等。这些统称为“密钥材料”。TLS 1.2通过密钥扩展（Key Expansion）步骤完成：

key_block = PRF(master_secret, "key expansion", 
                ServerHello.random + ClientHello.random)
// 然后按顺序切分：
client_write_MAC_key = key_block[0..19]
server_write_MAC_key = key_block[20..39]
client_write_key     = key_block[40..55]
server_write_key     = key_block[56..71]
client_write_IV      = key_block[72..75]
server_write_IV      = key_block[76..79]

这个拆分顺序是有讲究的——客户端和服务器各拿一套独立密钥，防止单向攻击。我在一个老旧SSL库的代码里看到过它把client和server密钥搞反了，结果双向通信只有一边能解密。排查了两天才找到原因，真让人头大。

4.3 生命周期：生、用、老、死

会话密钥不是永久的。它的生命周期决定了TLS连接的安全边界。我通常把它分为四个阶段：

阶段	关键动作	注意事项
生成（Birth）	握手完成时，派生出一套会话密钥	必须使用足够随机数；使用安全的PRF
使用（Active）	传输数据时，用会话密钥加解密	注意消息号（sequence number）不能溢出
更新（Renewal）	TLS 1.3支持密钥更新（Key Update）	生成新密钥但不重新握手，开销小
失效/销毁（Expire/Destroy）	连接关闭或超时后，清除密钥	必须用安全擦除（memset_s等）

你可能会问：“为什么要更新密钥？不嫌麻烦吗？” 其实加密用同一把钥匙太久，积累的密文量越大，分析起来就越容易。TLS 1.3的Key Update允许在不重新握手的前提下，生成全新的发送/接收密钥。这对于长连接（比如WebSocket、HTTP/2）特别有用。我之前做过一个直播推流系统，单条连接能维持几小时，定期密钥更新把安全性提高了一个档次。

4.4 密钥生命周期的常见风险

作为工程师，我们还得知道哪些地方容易翻车。我总结了几条：

• 密钥重用： 同一个会话密钥被用于多个连接。解决办法：确保每次握手都生成独立的随机数。
• 密钥泄露： 由于内存未清零被转储，或日志意外打印了密钥。建议使用memset_s、secure_zero_memory等平台API。
• 密钥过期不销毁： 空闲连接长期不关，密钥留在内存里。可以设置Idle Timeout，关闭闲置连接。
• 序列号溢出： 一个方向发送超过2^64个记录，序列号回滚，相同的IV + key组合会重复。这在TLS 1.2中可能致命，TLS 1.3限制了序列号长度。

4.5 一张图看懂密钥生命周期

下面这张SVG图把整个流程串起来了——从预主密钥、主密钥，到会话密钥派生，再到使用、更新、销毁。建议你把它打印出来贴在工位上，写代码时扫一眼就能确认自己没漏步骤。

看着这张图，你可以顺着箭头把所有步骤过一遍。我最常用它来跟团队同学对齐概念——每次画出来，大家就对“密钥到底在哪一刻产生”不再有争论。

4.6 实践建议

最后，我分享几个多年摸爬滚打出来的实用经验：

• 使用OS提供的加密API，比如OpenSSL的SSL_SESSION、BoringSSL的SSL_CTX_set_session。不要手写密钥派生。
• 定期轮换服务端证书，虽然会话密钥生命周期和证书无关，但长期不换证书可能导致某些实现缓存旧主密钥。
• 日志里不要打印任何密钥。曾经有人为了调试方便、把master_secret写进日志，结果log被外泄——那画面太美我不敢看。
• 注意线程安全：会话密钥是连接级别的，不要跨线程共享。如果你用多路复用（比如QUIC），得每个流都有独立密钥状态。