1. TLS 1.3 概述
1.1 TLS 协议发展历史
传输层安全协议（TLS）及其前身 SSL（Secure Sockets Layer）经历了近三十年的演进，每一次版本迭代都对应着密码学攻击手段的升级与安全需求的提升。下表梳理了主要版本的关键节点与安全状态：
| 版本 | 发布年份 | 核心特征 | 当前安全状态 |
|---|---|---|---|
| SSL 1.0 | 未公开 | Netscape 内部设计，存在严重安全缺陷 | 从未公开发布 |
| SSL 2.0 | 1995 | 首次公开部署，使用 MD5 + RC4 | 已废弃（2000年） |
| SSL 3.0 | 1996 | 引入 HMAC、改进握手流程 | 已废弃（2015年，POODLE 攻击） |
| TLS 1.0 | 1999 | 标准化 SSL 3.0，使用 PRF、CBC 模式 | 已废弃（2021年，BEAST 攻击） |
| TLS 1.1 | 2006 | 显式 IV、CBC 填充修复 | 已废弃（2021年） |
| TLS 1.2 | 2008 | AEAD 支持、SHA-256、GCM/CCM | 广泛使用，但逐步被 1.3 取代 |
| TLS 1.3 | 2018 | 精简握手、前向安全、移除不安全算法 | 当前推荐版本 |
关键里程碑：2018年8月，IETF 正式发布 RFC 8446，标志着 TLS 1.3 成为标准。这是 TLS 协议自 1.2 以来最大的一次架构重构，而非简单的增量更新。
1.2 TLS 1.3 相比 TLS 1.2 的主要改进
TLS 1.3 在握手效率、安全强度和协议简洁性三个维度上对 TLS 1.2 进行了根本性改进。以下从六个核心方面进行对比：
- 握手轮次减少：TLS 1.2 完整握手需要 2-RTT（两次往返），TLS 1.3 仅需 1-RTT；若使用 0-RTT 模式，首次数据发送可与 ClientHello 同时进行。
- 移除不安全算法：TLS 1.3 彻底移除了 RSA 密钥交换、CBC 模式加密、RC4、3DES、SHA-1 等已知脆弱算法，仅保留 AEAD 加密套件。
- 强制前向安全：TLS 1.3 所有密钥交换必须使用 (EC)DHE，确保会话密钥泄露不会影响历史会话。
- 握手消息加密：从 ServerHello 之后的所有握手消息均被加密，防止中间人篡改和协议指纹识别。
- 精简密码套件：TLS 1.2 定义了数百种密码套件组合，TLS 1.3 仅保留 5 种 AEAD 套件，大幅降低配置复杂度。
- 会话恢复优化：使用 PSK（预共享密钥）+ (EC)DHE 机制替代 TLS 1.2 的 Session ID/Ticket 模式，恢复握手仅需 0-RTT 或 1-RTT。
实践建议：在服务器配置中，应优先启用 TLS 1.3，并将 TLS 1.2 作为降级兼容选项。避免同时启用 TLS 1.0/1.1，这些版本已不再被主流浏览器信任。
1.3 TLS 1.3 的核心优势
TLS 1.3 的核心优势可以归纳为三个层面：更快的连接建立、更强的安全保障、更简洁的协议设计。下图展示了 TLS 1.3 与 TLS 1.2 在握手流程上的关键差异：
TLS 1.3 的核心优势具体体现在以下五个方面：
- 延迟显著降低：完整握手从 2-RTT 降至 1-RTT，0-RTT 模式允许客户端在首次连接时直接发送数据，对 Web 页面加载、API 调用等场景的延迟改善可达 30%~50%。
- 前向安全成为强制要求：所有会话密钥均通过 (EC)DHE 临时密钥协商生成，即使服务器长期私钥泄露，攻击者也无法解密历史通信记录。
- 攻击面大幅缩减：移除 CBC 模式、RC4、RSA 密钥交换等脆弱组件后，BEAST、POODLE、Lucky13、ROBOT 等经典攻击在 TLS 1.3 中不再有效。
- 协议设计更简洁：密码套件从数百种减少到 5 种，握手消息数量减少约 40%，降低了实现错误和配置失误的风险。
- 隐私保护增强：握手过程中的证书、扩展等敏感信息均被加密传输，防止中间人通过协议指纹识别客户端或服务器。
注意：0-RTT 模式虽然能进一步降低延迟，但存在重放攻击风险。在涉及幂等性操作（如支付、转账）的场景中，应谨慎启用 0-RTT，或结合应用层防重放机制使用。
1.4 TLS 1.3 密码套件与安全参数
TLS 1.3 仅定义了 5 种密码套件，所有套件均使用 AEAD 认证加密模式，且密钥交换强制使用 (EC)DHE。下表列出所有标准套件及其核心参数：
| 密码套件 | 密钥交换 | AEAD 算法 | 哈希算法 | 安全强度 |
|---|---|---|---|---|
| TLS_AES_128_GCM_SHA256 | (EC)DHE | AES-128-GCM | SHA-256 | 128 位 |
| TLS_AES_256_GCM_SHA384 | (EC)DHE | AES-256-GCM | SHA-384 | 256 位 |
| TLS_CHACHA20_POLY1305_SHA256 | (EC)DHE | ChaCha20-Poly1305 | SHA-256 | 256 位 |
| TLS_AES_128_CCM_SHA256 | (EC)DHE | AES-128-CCM | SHA-256 | 128 位 |
| TLS_AES_128_CCM_8_SHA256 | (EC)DHE | AES-128-CCM-8 | SHA-256 | 128 位（短标签） |
部署建议：在通用服务器上，推荐优先配置
TLS_AES_128_GCM_SHA256 和 TLS_AES_256_GCM_SHA384。对于移动端或缺乏 AES 硬件加速的环境，TLS_CHACHA20_POLY1305_SHA256 是更优选择。
从 TLS 1.2 到 TLS 1.3 的演进，本质上是密码学工程实践对过去二十年攻击经验的系统性回应。TLS 1.3 通过减少握手轮次、强制前向安全、移除脆弱算法、加密握手消息等设计决策，为现代互联网通信提供了更高效、更安全的传输层保护。