第一章：TLS协议概述——从SSL到TLS的演进
说起TLS，很多人第一反应就是“HTTPS那个加密协议”。其实它远不止这些。我最早接触TLS是在2012年，当时公司要上线一个金融接口，对方只允许TLS 1.0以上的握手。那时候我还在用OpenSSL 0.9.8，踩了不少坑。
这章咱们就聊聊TLS的来龙去脉。你可能会问：为什么要有这么多版本？每个版本改了什么？更重要的是——在实际项目中该怎么选？
1.1 从SSL到TLS：一个小历史
SSL（Secure Sockets Layer）最早是网景公司搞的。1995年SSL 2.0发布，但安全问题一堆。我翻过当年的漏洞报告，那简直是个筛子。后来1996年SSL 3.0出来，总算能用一用了。
但网景没坚持住，1999年IETF接手并把它改名为TLS（Transport Layer Security）。注意：TLS 1.0本质上就是SSL 3.0的改进版，但不再叫SSL了。命名上有点绕，你只需要记住——SSL已成为历史，TLS才是正统。
1.2 各版本核心差异对比
我个人习惯用这张表来对比TLS各版本。它把关键差异列清楚了，哪个版本支持什么算法、有哪些特性，一目了然。
| 版本 | 发布年份 | 核心改进 | 安全状态 | 当前推荐 |
|---|---|---|---|---|
| SSL 3.0 | 1996 | 首次支持握手认证与加密分离 | 已废弃，有POODLE等严重漏洞 | 禁用 |
| TLS 1.0 | 1999 | 引入HMAC，修复SSL 3.0缺陷 | 脆弱，BEAST攻击 | 禁用 |
| TLS 1.1 | 2006 | 增加CBC防御，改进IV生成 | 仍有Lucky13等问题 | 禁用 |
| TLS 1.2 | 2008 | 支持GCM/CCM等AEAD，灵活密码套件 | 较安全，但需正确配置 | 可接受（过渡） |
| TLS 1.3 | 2018 | 握手仅2-RTT，移除不安全算法，引入0-RTT | 当前最安全 | 强烈推荐 |
你看，从TLS 1.0到1.3，中间隔了将近20年。每一个版本都不简单。我记得有次给客户做等保合规，他们还在用TLS 1.0，我直接建议升级到1.2起步。为什么？因为TLS 1.0的BEAST攻击是实实在在的，抓个包就能解密。但很多老系统不愿意动，觉得“以前一直这样没问题”。这种心态早晚会出事。
1.3 为什么TLS 1.3是质变？
TLS 1.3不是小修小补，而是重写握手流程。我举个实际例子：传统TLS握手需要2个RTT（往返延迟），TLS 1.3只需要1个RTT，如果复用会话还能0-RTT。你想想看，对于高延迟网络（比如卫星通信），这个提升是肉眼可见的。
另外，TLS 1.3砍掉了一堆老旧算法：RC4、3DES、CBC模式、RSA密钥交换统统不要。只保留了AEAD加密（AES-GCM、ChaCha20-Poly1305）和ECDHE/EDH密钥协商。用我的话来说，就是“干净利落，不留后患”。
1.4 版本演进路线图
下面这张SVG图把TLS/SSL的版本时间线画了出来。我特意把关键漏洞和攻击事件也标上了，方便你理解为什么有些版本被快速淘汰。
这张图可能看起来有点密，但重点就在那些漏洞标注上。你会发现每一个版本的生命周期都和漏洞紧密相关。POODLE搞垮了SSL 3.0，BEAST杀死了TLS 1.0的CBC模式，Lucky13又让TLS 1.1备受质疑。而TLS 1.3绕过这些坑，直接诞生在新的安全基线上。
1.5 实际配置建议
说了这么多理论，咱们落地到实际。如果你现在要配置一个服务器，我建议这样搞：
- 禁用SSL 3.0、TLS 1.0、TLS 1.1。 这三个版本已经没有任何理由保留。
- 启用TLS 1.2和TLS 1.3。 1.3优先级最高，1.2作为降级兼容。
- 密码套件选择： 只保留基于ECDHE的AEAD套件（TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256）。
- 注意证书链完整性： 很多问题其实不在协议版本，而在于证书链不完整。我曾经帮一个客户排查半天，结果是中间证书没上传，导致握手失败。
1.6 密码服务联动的前奏
这章是基础，但接下来我们会深入TLS握手过程，特别是它如何与密码服务（如HSM、KMS、密码机）联动。你可以把TLS看作一个协议框架，握手过程中用到的随机数生成、签名验证、密钥导出，都需要调用底层密码服务。我以前在部署硬件密码机时就发现，TLS 1.3的密钥导出流程对硬件加速器不够友好，需要额外适配。这些经验后面会详细展开。
嗯，这章就到这里。记住：版本选择是你的第一道防线，别偷懒。