1. DTLS协议概述：DTLS与TLS的关系、DTLS在物联网中的定位、为什么需要DTLS

各位同学好，我是老周。今天咱们开始聊DTLS握手优化这个话题。说实话，我第一次接触DTLS是在一个智能路灯项目里——当时设备上报数据老丢包，TLS握手动不动就超时，搞得我头大。后来才发现，DTLS才是对的路子。

这一节我们先打好基础。搞清楚DTLS是什么，跟TLS啥关系，为什么物联网设备非它不可。你把这些弄明白了，后面讲握手优化才有根。

1.1 DTLS与TLS：同根不同路

DTLS全称是Datagram Transport Layer Security，数据报传输层安全协议。它跟TLS的关系，说白了就是——DTLS是TLS在UDP上的移植版。

TLS跑在TCP上，TCP有重传、有序、可靠这些机制。但UDP没有这些，丢包了、乱序了、重复了，UDP一概不管。DTLS要做的，就是在UDP这个不可靠的通道上，实现跟TLS一样的安全能力。

我画了一张图，帮你直观理解两者的关系：

你看，应用层和网络层是一样的，区别就在中间两层。TLS用TCP，DTLS用UDP。但DTLS不是简单把TLS报文塞进UDP就完事了——它得自己处理丢包重传、报文排序、防重放攻击。这些在TLS里都是TCP代劳的。

1.2 DTLS在物联网中的定位

物联网设备有个特点：资源受限。CPU主频低、内存小、电池供电。你让一个传感器跑完整TLS握手，光证书验证就能把Flash吃光。

更关键的是，很多物联网应用层协议跑在UDP上。比如CoAP、LwM2M、MQTT-SN。这些协议本身就是为低功耗、低带宽场景设计的。你总不能为了安全，硬在UDP上面再套一层TCP吧？那延迟和功耗都受不了。

所以DTLS的定位很清晰：为UDP应用提供TLS级别的安全保障。它填补了UDP安全传输的空白。

场景	传输层	安全协议	典型应用
Web浏览	TCP	TLS	HTTPS
物联网（低功耗）	UDP	DTLS	CoAP + DTLS
物联网（高可靠）	TCP	TLS	MQTT + TLS
实时音视频	UDP	DTLS-SRTP	WebRTC

我做过一个温湿度传感器项目，用的就是CoAP + DTLS。设备每5分钟上报一次数据，每次握手加数据传输，总耗时不到200ms，电池撑了两年。如果换成TCP + TLS，光握手就要多花好几秒，功耗直接翻倍。

1.3 为什么需要DTLS？

你可能会问：UDP本身不安全吗？为什么非要加一层DTLS？

嗯，这个问题问得好。UDP确实不安全——它不加密、不认证、不防篡改。攻击者可以轻松做这些事情：

• 窃听：抓包就能看到明文数据
• 篡改：中间人修改报文内容
• 伪造：冒充合法设备发送指令
• 重放：截获合法报文后重复发送

DTLS就是为了解决这些问题而生的。它提供三个核心安全能力：

1. 加密：数据只有通信双方能看懂
2. 认证：确认对方身份，防止冒充
3. 完整性校验：检测数据是否被篡改

我举个例子。之前有个客户做智能门锁，直接用UDP发开锁指令。结果被攻击者抓包重放，门锁莫名其妙自己开了。后来加上DTLS，每条指令都有序列号和MAC校验，重放攻击就防住了。

1.4 DTLS的挑战：低功耗设备的痛点

DTLS虽好，但在低功耗设备上跑起来，问题不少。我总结了几点：

• 握手开销大：完整DTLS握手需要2-RTT，每次握手要交换证书、协商密钥。对低功耗设备来说，这很费电。
• 内存占用高：握手状态机、证书链、密钥材料，加起来轻松吃掉几十KB RAM。很多MCU总共才几十KB。
• 计算开销大：非对称加密（RSA/ECDSA）对低主频CPU是沉重负担。一次签名验证可能耗时几百毫秒。
• 丢包影响大：UDP丢包会导致握手失败或超时重传，进一步增加延迟和功耗。

这些痛点，正是我们这门课要解决的核心问题。后面我会逐一讲解优化方案——会话缓存、握手简化、预共享密钥、硬件加速等等。

好了，这一节就到这里。你先把DTLS的定位和必要性吃透，后面讲握手流程和优化方案时，才能跟上节奏。