1. TLS 基础概念：什么是 TLS、TLS 与 SSL 的关系、TLS 在物联网中的重要性
各位同学，咱们今天聊的是整个课程的地基——TLS。说实话，我在物联网安全这行摸爬滚打了十几年，见过太多设备因为「没做好传输加密」而被攻破的案例。有的甚至是在产品上市后才发现，那叫一个惨。所以，把 TLS 搞明白，是你做设备注册安全设计的第一步，也是最重要的一步。
1.1 什么是 TLS？
TLS，全称 Transport Layer Security，传输层安全协议。说白了，它就是在网络上给数据包穿上一件「防弹衣」。你想想看，你的设备要跟服务器通信，中间要经过多少个路由器、交换机、基站？任何一个中间节点，理论上都能看到你的数据。TLS 就是用来解决这个问题的。
我个人习惯把 TLS 理解成三个核心能力的组合：
- 加密 —— 数据在传输过程中是乱码的，别人看不懂。
- 认证 —— 你能确认你正在跟谁说话，不是冒牌货。
- 完整性 —— 数据在途中没有被篡改过。
嗯，这里要注意：很多人以为 TLS 只是「加密」，其实认证和完整性同样重要。我在项目中遇到过不止一次，设备只做了加密没做证书校验，结果被中间人攻击轻松拿下。所以，这三个能力缺一不可。
核心要点：TLS 不是某个具体的加密算法，而是一套协议框架。它允许通信双方协商出一套临时使用的加密参数，然后在这个安全通道里传输数据。这个「协商」的过程，就是我们常说的 TLS 握手。
1.2 TLS 与 SSL 的关系
这个问题几乎每节课都有人问。我直接给你讲清楚：
SSL（Secure Sockets Layer）是 TLS 的前身。最早是网景公司搞出来的，版本从 SSL 1.0（没发布过）、SSL 2.0（1995）、SSL 3.0（1996）一路演进。后来 IETF 接手了这个协议，觉得名字得改改，于是在 1999 年发布了 TLS 1.0。其实 TLS 1.0 跟 SSL 3.0 差别不大，基本上就是 SSL 3.0 的升级版。
现在的情况是这样的：
| 协议版本 | 发布年份 | 状态 | 我的建议 |
|---|---|---|---|
| SSL 2.0 | 1995 | 已废弃（有严重漏洞） | 绝对不要用 |
| SSL 3.0 | 1996 | 已废弃（POODLE 攻击） | 绝对不要用 |
| TLS 1.0 | 1999 | 已废弃（BEAST 攻击等） | 不要用 |
| TLS 1.1 | 2006 | 已废弃 | 不要用 |
| TLS 1.2 | 2008 | 广泛使用 | 推荐使用 |
| TLS 1.3 | 2018 | 最新标准 | 强烈推荐 |
你可能会问：「为什么市面上还有人把 TLS 叫 SSL？」嗯，历史惯性。很多设备厂商的文档里还写着「SSL/TLS」，其实指的都是 TLS。我个人习惯在技术文档里统一用 TLS，避免混淆。但如果你看到有人把 TLS 1.2 写成 SSL 3.3，也别太惊讶——虽然严格来说不准确，但大家心里都明白说的是什么。
避坑指南：我曾经在一个物联网项目中，发现设备固件里硬编码了 SSL 3.0 的支持。问厂商为什么，答曰「兼容性考虑」。结果呢？上线不到一周就被安全研究员用 POODLE 攻击打穿了。所以，我的原则是：凡是 SSL 开头的版本，一律禁用。只留 TLS 1.2 和 TLS 1.3。
1.3 TLS 在物联网中的重要性
好了，前面都是背景知识。现在咱们聊聊为什么在物联网设备注册这个场景里，TLS 如此重要。
你想想看，设备注册是什么过程？一台刚出厂的设备，第一次联网，它要跟服务器建立信任关系，交换身份凭证，获取配置信息。这个过程如果被攻击者截获或篡改，后果是什么？
- 攻击者可以冒充服务器，给设备下发恶意固件。
- 攻击者可以窃取设备的唯一身份密钥，然后克隆设备。
- 攻击者可以篡改注册请求，把设备注册到自己的账户下。
这些都不是理论上的风险。我在项目中遇到过真实案例：某智能门锁厂商，设备注册时用的是 HTTP + 自定义加密。结果呢？攻击者抓包后逆向出了加密算法，然后批量伪造注册请求，把别人的门锁绑到了自己手机上。你说吓不吓人？
所以，TLS 在物联网中的重要性，我总结为三点：
- 身份认证是基础 —— 设备需要确认服务器是真的，服务器也需要确认设备是真的。TLS 的证书体系正好提供了这个能力。
- 传输加密是底线 —— 设备注册过程中交换的密钥、令牌、证书等敏感信息，必须在加密通道中传输。裸奔？那是找死。
- 防篡改是保障 —— 注册过程中的任何数据，都不能被中间人修改。TLS 的 MAC（消息认证码）机制保证了这一点。
我的经验：在物联网设备上做 TLS，跟 PC 或手机上有很大不同。设备资源受限，内存小、CPU 弱、网络可能不稳定。所以你不能直接把 PC 上的 TLS 配置照搬过来。比如，证书链的长度、密码套件的选择、会话复用的策略，都需要针对物联网场景做优化。这些我们后面章节会详细讲。
最后，我用一张图来总结 TLS 在物联网设备注册中的核心位置：
这张图其实已经说得很清楚了。没有 TLS，设备注册就像在闹市区裸奔——谁都能看，谁都能摸。有了 TLS，至少你有了一个安全的「加密隧道」，数据在里面是安全的。