📚 课程目录第2章 TLS1.3握手流程与密钥交换

第二章 TLS 1.3 握手流程与密钥交换：ECDHE、PSK 与 0‑RTT 风险

TLS 1.3 在设计上大幅简化了握手过程，消除了版本协商、静态 RSA 密钥交换等遗留弱点。本章聚焦三种核心密钥交换机制——ECDHE（临时椭圆曲线 Diffie‑Hellman）、PSK（预共享密钥）以及由此衍生的 0‑RTT 模式，揭示其原理、实现方法、调试要点与安全风险。

2.1 握手流程概览

TLS 1.3 握手在 1‑RTT 内完成（相比 TLS 1.2 的 2‑RTT），主要包含以下消息交换：

Client Hello：发送支持的密码套件、Key Share（ECDHE 公钥）、PSK 标识（如存在）。
Server Hello：选定密码套件、返回 Key Share（ECDHE 公钥）、确认 PSK。
Encrypted Extensions + Certificate* + CertificateVerify* + Finished：握手加密后传输证书与验证（*号表示 ECDHE 模式下发送，PSK 模式下可省略证书）。
Client Finished：客户端完成握手，之后应用数据开始传输。

2.2 ECDHE 密钥交换原理与实现

ECDHE 在每次握手时生成临时椭圆曲线公私钥对，确保前向安全性：即使长期私钥泄露，历史会话也无法被解密。

阶段	客户端操作	服务端操作
1	生成临时私钥 d_C，计算公钥 Q_C = d_C·G	同左
2	将 Q_C 放入 `key_share` 扩展	将 Q_S 放入 `key_share` 扩展
3	收到 Q_S 后计算共享密钥 Z = d_C·Q_S	收到 Q_C 后计算 Z = d_S·Q_C
4	通过 HKDF 派生握手密钥与主密钥	同左

实现示例：使用 OpenSSL 1.1.1+ 强制 ECDHE 的配置（服务端）：

# 禁用所有非ECDHE套件（TLS 1.3 只有 ECDHE 和 PSK）
openssl s_server -cert server.crt -key server.key \
  -ciphersuites TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384 \
  -curves prime256v1:x25519:secp384r1 -tls1_3

2.3 PSK 预共享密钥与会话恢复

PSK 模式允许使用之前协商的对称密钥直接派生主密钥，跳过 ECDHE 计算。TLS 1.3 支持两种 PSK 传递方式：Session Ticket（服务端签发加密 ticket）和 外部 PSK（带外共享）。

握手流程简化：Client Hello 携带 pre_shared_key 扩展（包含 PSK 标识），服务端匹配后直接进入加密扩展阶段，不再发送 Certificate。
密钥派生：使用 PSK 输入到 HKDF，结合双方的 nonce 生成握手密钥。

部署建议：在负载均衡环境中，建议使用分布式缓存（如 Redis）存储 Session Ticket 密钥，防止因前端实例重启导致客户端 PSK 失效。

2.4 0‑RTT 机制与风险

0‑RTT 允许客户端在 首次消息（Client Hello）中直接发送应用数据（Early Data），前提是客户端拥有有效的 PSK。这消除了往返延迟，但引入以下风险：

重放攻击：中间人截获 0‑RTT 数据后可以重复发送，服务器无法区分是否为同一请求。必须依赖幂等性机制（如 HTTP GET 安全，POST 需防重放）。
前向安全性退化：0‑RTT 数据使用 PSK 直接加密，若 PSK 长期有效且泄露，历史 0‑RTT 数据可被解密。
密钥过期：服务器可设置 max_early_data_size 或拒绝大于阈值的数据。

安全配置要点：永远不要在 0‑RTT 中传输非幂等、敏感或不可重放的请求（例如支付、状态修改）。建议服务端开启反重放保护（如基于时间戳 + 单向计数器的机制）。

2.5 调试与常见错误

使用 openssl s_client 可以观察握手过程中的密钥交换与 PSK 协商：

# 查看 ECDHE 曲线与密钥交换
openssl s_client -connect example.com:443 -tls1_3 -msg 2>&1 | grep -E "key_share|ECDHE|curve"

# 测试 PSK 会话恢复（先建立会话并保存 session）
openssl s_client -connect example.com:443 -tls1_3 -sess_out session.pem
openssl s_client -connect example.com:443 -tls1_3 -sess_in session.pem -msg -early_data "GET / HTTP/1.1\r\nHost: example.com\r\n\r\n"

常见错误	原因	解决
`no shared cipher`	客户端/服务端密码套件不匹配	检查 `-ciphersuites` 并确保都支持 TLS 1.3
`psk not found`	服务端不识别客户端提供的 PSK 标识	确认 Session Ticket 未过期或外部 PSK 已同步
`early data rejected`	服务器拒绝 0‑RTT 数据（重放保护或过大）	调整 `max_early_data_size` 或禁用非幂等请求
`bad ecpoint`	椭圆曲线点格式错误或不支持的曲线	统一曲线为 x25519 或 prime256v1

2.6 性能与稳定性优化

优先使用 x25519 曲线：计算速度比 P‑256 快约 2–3 倍，且前向安全性等同。
PSK 过期策略：Session Ticket 生命周期建议设为 24 小时内，避免密钥重用过久。
0‑RTT 用量控制：设置合理的 max_early_data_size（如 16 KB），防止一次握手携带过大数据影响稳定性。
硬件加速：对大规模部署，使用支持 Elliptic Curve 指令（如 Intel ADX/AVX2）的 CPU 或 QAT 卡加速 ECDHE 计算。