1. TLS协议背景与发展历史归纳总结

聊TLS之前，我们先弄清楚一个问题：它到底从哪来的？

说白了，互联网刚诞生的时候，大家根本没考虑过安全问题。最早的网络协议都是“明文裸奔”的——你发什么，别人就能看到什么。这在学术网络里还行，但到了商业时代，网上开始出现信用卡号、登录密码、私人邮件……问题就大了。

1.1 安全通信的起点：SSL的诞生

90年代中期，网景公司（Netscape）碰到了一个很现实的麻烦。他们的浏览器要支持网上购物，但HTTP传输的数据是明文的。你输入信用卡号，中间任何一个路由器都能把数据抓走。

网景的工程师们想了个办法：在HTTP协议底下加一层安全壳。这就是SSL——Secure Sockets Layer。我的习惯是把SSL看作“给TCP套了个加密信封”。

1995年，SSL v2.0正式发布。不过说实话，这版问题不少。我在项目早期接触过一些遗留系统，还见过有人在硬编码里写SSL v2的配置。别笑，真事。那个版本有个致命缺陷：握手过程没有完整性校验，攻击者可以篡改密码套件协商。

于是1996年，SSL v3.0出来了。它加入了Change Cipher Spec协议，对握手消息做了MAC保护，基本解决了v2的问题。到今天，SSL 3.0虽然退役了，但它的设计思想影响深远。

1.2 从SSL到TLS的演进

到了1999年，IETF接手了SSL的标准化工作。他们把SSL 3.0拿来，做了小幅修订，改了个名字——TLS 1.0（RFC 2246）。

为什么改名？说白了，知识产权问题。网景持有“SSL”这个商标，IETF不想惹麻烦。但从技术上看，TLS 1.0和SSL 3.0的区别其实不大。它们之间可以降级协商，这也成了后来一些攻击的源头。

之后的演进路线是这样的：

• TLS 1.0 (1999)：RFC 2246。改进了PRF（伪随机函数），用HMAC代替了SSL的MAC构造。嗯，这里要注意：1.0已经不建议用了，但很多旧系统还在跑。
• TLS 1.1 (2006)：RFC 4346。主要修了两个坑：显式IV（防止CBC攻击）、对填充错误的处理更严格。我记得当时升级这个大版本，花了不少力气说服业务方。
• TLS 1.2 (2008)：RFC 5246。这次是真正的里程碑。它删除了IDEA和DES这些老算法，引入了AEAD认证加密，还重新定义了密码套件的写法。
• TLS 1.3 (2018)：RFC 8446。几乎是重写了一遍。握手从2-RTT压缩到1-RTT，砍掉了所有不安全特性。我曾经跟团队说：1.3就是TLS的“断舍离”版本。

1.3 各版本的差异对比

下面这个表格可以帮你快速对比各个版本的核心差异：

版本	发布时间	握手RTT	算法支持	安全性评价
SSL 2.0	1995	2	RC4, DES	已废弃
SSL 3.0	1996	2	RC4, 3DES, RSA	已废弃
TLS 1.0	1999	2	RC4, 3DES, AES	不推荐
TLS 1.1	2006	2	AES, 3DES	不推荐
TLS 1.2	2008	2	AES-GCM, AES-CBC, ChaCha20	推荐
TLS 1.3	2018	1	AES-GCM, ChaCha20-Poly1305	强烈推荐

1.4 核心概念速览

在深入握手流程之前，先理清几个基础概念。你想想看，如果没有它们，SSL/TLS就只是一堆加密算法的堆砌：

• 密码套件（Cipher Suite）：一组算法的组合。比如密钥交换算法、身份验证算法、对称加密算法、MAC算法。它们打包在一起，在握手时协商。
• 数字证书：用来证明“我是谁”。由CA签发，包含公钥、身份信息、有效期。服务端用它向客户端证明身份。
• 前向安全性（Forward Secrecy）：即使服务器私钥泄露，过去的通信记录也不会被解密。TLS 1.2中通过DHE/ECDHE实现，1.3中这是强制要求。
• 会话恢复（Session Resumption）：重连时缩短握手过程。有Session ID和Session Ticket两种方式。

1.5 我们为什么要学握手协议？

你可能觉得，直接调openssl不就行了，学什么握手细节？

坦白说，早期我也是这么想的。直到有一次线上事故——客户端报“handshake failure”，我对着openssl s_client的输出完全看不懂。那时候才意识到，不懂握手流程，遇到问题只能靠猜。

TLS握手是安全通信的“入口”。密码套件怎么选、证书怎么验、密钥怎么协商，全在握手阶段完成。你想想看，如果握手被攻破了，后续的加密再强也没用。