TLS协议概述与历史演进

做了这么多年安全工程，我越来越觉得TLS就像互联网的"空气"——平时你感觉不到它的存在，可一旦出了问题，整个网络都会"窒息"。记得我刚入行时，帮一个电商平台排查支付接口的问题，折腾了两天，最后发现是TLS版本不匹配导致的握手失败。从那以后，我就养成了一个习惯：不管做什么网络项目，先把TLS版本和配置理清楚。

这一章，咱们就来聊聊TLS到底是什么，它从哪儿来，核心架构长什么样，以及各个版本该怎么选。说白了，就是给后续的握手改造和密钥轮换打地基。

1.1 理解TLS：它到底解决了什么问题？

TLS全称是Transport Layer Security，传输层安全协议。它的位置很特殊——夹在应用层和传输层之间。你想想看，HTTP、FTP、SMTP这些应用协议本身是不安全的，数据在网络上裸奔，谁都能抓包看到。TLS就在中间加了一层保护。

它的核心目标就三个：

• 加密 —— 防止数据被窃听。数据在传输过程中是密文，就算被截获也看不懂。
• 认证 —— 防止身份被冒充。通过证书体系确认对方确实是你要通信的对象。
• 完整性 —— 防止数据被篡改。如果数据在传输中被修改，接收方能检测到。

我在项目中遇到过不少团队，觉得"反正我们的系统是内网的，不需要TLS"。结果呢？内网被攻破后，所有流量都是明文，数据泄露得一干二净。嗯，内网不等于安全，这个坑我踩过。

1.2 从SSL到TLS：一部安全编年史

TLS的前身是SSL，由网景公司在1994年开发。初衷很简单——让网上购物更安全。但这条路走得挺曲折的。

来看看这个演进时间线：

• SSL 1.0 (1994) —— 内部版本，从未公开发布。因为安全问题太多，直接胎死腹中。
• SSL 2.0 (1995) —— 第一个公开版本。但设计缺陷一大堆，比如不支持证书链、MAC太弱。后来被迅速淘汰。
• SSL 3.0 (1996) —— 重大升级，引入了HMAC、更完善的握手流程。奠定了现代TLS的基础。
• TLS 1.0 (1999) —— IETF接手后重新命名，实际上就是SSL 3.0的改进版。变化不大，但兼容性开始出问题。
• TLS 1.1 (2006) —— 主要修复了CBC模式的IV预测攻击。算是一次小版本迭代。
• TLS 1.2 (2008) —— 真正的里程碑。支持SHA-256、AEAD密码套件、更强的加密算法。至今仍是主力。
• TLS 1.3 (2018) —— 彻底重构。握手从2-RTT降为1-RTT，去掉了一堆不安全算法，性能和安全都大幅提升。

为什么会走到TLS 1.3这一步？说白了，攻击技术也在进化。从BEAST到CRIME，从POODLE到Lucky13，每次攻击都倒逼协议升级。安全圈就是这样——道高一尺，魔高一丈。

1.3 TLS协议的核心架构

TLS不是一个单独的协议，而是一组协议的集合。它分上下两层：

• TLS记录协议（Record Protocol） —— 位于底层，负责数据的分片、压缩、加密和MAC计算。所有数据最终都要通过记录协议传输。
• TLS握手协议（Handshake Protocol） —— 位于上层，负责身份认证和密钥协商。握手完成后，双方才用协商好的密钥进行加密通信。

除了握手协议，TLS层还包括：

• Change Cipher Spec协议 —— 通知对方切换加密参数。
• Alert协议 —— 传递错误信息和警告。
• Application Data协议 —— 封装实际的应用数据。

下面这张图把TLS的协议栈位置和版本演进放在了一起，方便你建立整体认知：

1.4 主流版本特性对比

不同版本之间的差异还是挺大的。我整理了一张对比表，方便你快速把握重点：

特性	SSL 3.0	TLS 1.0	TLS 1.1	TLS 1.2	TLS 1.3
发布年份	1996	1999	2006	2008	2018
握手延迟	2-RTT	2-RTT	2-RTT	2-RTT	1-RTT（初次） 0-RTT（恢复）
对称加密	RC4, DES, 3DES	RC4, DES, 3DES, AES	RC4, DES, 3DES, AES	AES, CHACHA20, CAMELLIA	AES-GCM, CHACHA20-Poly1305 (仅AEAD)
密钥交换	RSA, DH	RSA, DH, DHE	RSA, DH, DHE	RSA, DH, DHE, ECDHE	ECDHE, DHE (前向安全强制)
哈希算法	MD5, SHA-1	MD5, SHA-1	MD5, SHA-1	SHA-1, SHA-256, SHA-384	SHA-256, SHA-384
安全性评级	已废弃	不推荐	不推荐	推荐	强烈推荐

1.5 当前TLS生态与选型建议

说到选型，我直接给建议：

• 新项目：直接用TLS 1.3。握手更快，加密更强，配置更简单。
• 存量系统：至少启用TLS 1.2，逐步迁移到TLS 1.3。
• 必须废弃：SSL 3.0、TLS 1.0、TLS 1.1。这三个版本已经落后，存在已知漏洞。

我曾经审计过一个金融系统，他们因为兼容老旧POS机，一直开着TLS 1.0。结果呢？安全扫描一过，漏洞清单上长长一串。后来他们花了三个月升级终端，彻底关掉了TLS 1.0和1.1。嗯，有些债迟早要还的。

下面是一个常用的Nginx TLS配置示例，建议直接复制使用：

server {
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve X25519:prime256v1:secp384r1;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
}

这个配置我用了很多年，兼容性和安全性都很平衡。唯一要注意的是，如果你要支持老设备（比如Android 4.x），可能需要额外保留TLS 1.2上的一些较老密码套件。但说实话，我建议直接放弃那些设备——它们本身就不安全了。