Day-172-TLS-SSL 协议详解

# Day 186: TLS/SSL 协议详解

> 密码学系列第 6 天 | 预计阅读时间：50 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [TLS/SSL 概述](#tls-ssl 概述)
2. [TLS 发展历史](#tls 发展历史)
3. [TLS 协议架构](#tls 协议架构)
4. [TLS 握手流程](#tls 握手流程)
5. [密钥派生与加密](#密钥派生与加密)
6. [密码套件](#密码套件)
7. [证书验证](#证书验证)
8. [TLS 1.3 新特性](#tls-13 新特性)
9. [实战配置](#实战配置)
10. [安全实践](#安全实践)
11. [总结与思考](#总结与思考)
12. [参考资料](#参考资料)

---

## TLS/SSL 概述

### 什么是 TLS/SSL

**TLS（Transport Layer Security）**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS/SSL 概述                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  定义：                                                      │
│  TLS（传输层安全协议）是用于在两个通信应用程序之间提供      │
│  保密性和数据完整性的密码学协议。                            │
│                                                             │
│  位置：                                                      │
│  ┌─────────────────────────────────────────────────────┐   │
│  │  应用层：HTTP、FTP、SMTP、...                       │   │
│  │  ─────────────────────────────────────────────────  │   │
│  │  TLS 层：TLS 记录协议、TLS 握手协议                  │   │
│  │  ─────────────────────────────────────────────────  │   │
│  │  传输层：TCP                                        │   │
│  │  ─────────────────────────────────────────────────  │   │
│  │  网络层：IP                                         │   │
│  └─────────────────────────────────────────────────────┘   │
│                                                             │
│  核心目标：                                                  │
│  ├── 机密性（Confidentiality）：加密通信内容                │
│  ├── 完整性（Integrity）：防止数据被篡改                   │
│  ├── 认证性（Authentication）：验证通信双方身份            │
│  └── 前向安全（Forward Secrecy）：历史会话不被破解         │
│                                                             │
│  应用场景：                                                  │
│  ├── HTTPS：Web 安全浏览                                    │
│  ├── SMTPS/IMAPS：安全邮件                                  │
│  ├── FTPS：安全文件传输                                     │
│  ├── VPN：安全隧道                                          │
│  └── 即时通讯：WhatsApp、Signal 等                          │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### TLS vs SSL

**命名演变**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS vs SSL                                 │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  SSL（Secure Sockets Layer）：                              │
│  ├── SSL 1.0：从未公开（1994 年，Netscape）                 │
│  ├── SSL 2.0：1995 年（已废弃，存在严重漏洞）               │
│  ├── SSL 3.0：1996 年（已废弃，POODLE 攻击）                │
│  └── 状态：✗ 全部废弃，不应再使用                          │
│                                                             │
│  TLS（Transport Layer Security）：                          │
│  ├── TLS 1.0：1999 年（RFC 2246，基于 SSL 3.0）            │
│  ├── TLS 1.1：2006 年（RFC 4346）                          │
│  ├── TLS 1.2：2008 年（RFC 5246，广泛使用）                │
│  ├── TLS 1.3：2018 年（RFC 8446，最新标准）                │
│  └── 状态：TLS 1.0/1.1 已废弃，TLS 1.2/1.3 推荐使用         │
│                                                             │
│  关系：                                                      │
│  TLS 是 SSL 的继任者，但通常仍被称为"SSL"                   │
│  （如 SSL 证书、SSL 握手等术语仍广泛使用）                  │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## TLS 发展历史

### 版本演进

**TLS 版本时间线**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 版本演进                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  SSL 2.0 (1995) - ✗ 已废弃                                  │
│  ├── 首个公开版本                                          │
│  ├── 漏洞：弱加密、无证书验证、易受中间人攻击              │
│  └── 状态：RFC 6176 禁止使用                                │
│                                                             │
│  SSL 3.0 (1996) - ✗ 已废弃                                  │
│  ├── 完全重写，改进 SSL 2.0                                 │
│  ├── 漏洞：POODLE 攻击（2014 年）                           │
│  └── 状态：RFC 7568 禁止使用                                │
│                                                             │
│  TLS 1.0 (1999) - ✗ 已废弃                                  │
│  ├── RFC 2246，基于 SSL 3.0                                │
│  ├── 改进：更强的 MAC、更好的握手                          │
│  ├── 漏洞：BEAST、CRIME 等                                 │
│  └── 状态：2020 年 3 月主流浏览器禁用                       │
│                                                             │
│  TLS 1.1 (2006) - ✗ 已废弃                                  │
│  ├── RFC 4346                                              │
│  ├── 改进：防御 CBC 攻击、显式 IV                          │
│  └── 状态：2020 年 3 月主流浏览器禁用                       │
│                                                             │
│  TLS 1.2 (2008) - ✓ 广泛使用                                │
│  ├── RFC 5246                                              │
│  ├── 改进：                                                  │
│  │   ✓ 支持 AEAD 密码套件（GCM、CCM）                      │
│  │   ✓ SHA-256 哈希                                         │
│  │   ✓ 扩展支持                                             │
│  │   ✓ 更灵活的密码套件协商                                │
│  └── 状态：当前主流，推荐配置                              │
│                                                             │
│  TLS 1.3 (2018) - ✓✓ 最新标准                               │
│  ├── RFC 8446                                              │
│  ├── 改进：                                                  │
│  │   ✓ 简化握手（1-RTT、0-RTT）                            │
│  │   ✓ 移除不安全算法                                      │
│  │   ✓ 强制前向安全                                        │
│  │   ✓ 加密握手消息                                        │
│  └── 状态：推荐使用，逐步普及                              │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## TLS 协议架构

### 协议分层

**TLS 协议栈**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 协议架构                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 记录协议 (TLS Record Protocol)                         │
│  ├── 最底层，所有其他协议的基础                            │
│  ├── 功能：                                                  │
│  │   ├── 分段：将大数据分成可管理的块                      │
│  │   ├── 压缩：可选压缩（TLS 1.3 禁用）                    │
│  │   ├── MAC：计算消息认证码（完整性）                     │
│  │   ├── 加密：使用协商的加密算法                          │
│  │   └── 添加头部：类型、版本、长度                        │
│  └── 输出：TLS 记录（发送给对端）                          │
│                                                             │
│  TLS 握手协议 (TLS Handshake Protocol)                      │
│  ├── 在记录协议之上                                         │
│  ├── 功能：                                                  │
│  │   ├── 协商协议版本                                       │
│  │   ├── 协商密码套件                                       │
│  │   ├── 认证服务器（和客户端）                            │
│  │   ├── 生成共享密钥                                       │
│  │   └── 建立安全通道                                       │
│  └── 输出：会话密钥                                         │
│                                                             │
│  其他握手协议：                                              │
│  ├── 更改密码规范协议 (Change Cipher Spec)                 │
│  │   └── 通知对方切换到加密通信                            │
│  ├── 警报协议 (Alert Protocol)                              │
│  │   └── 发送错误和警告消息                                │
│  └── 会话恢复协议 (Session Resumption)                      │
│      └── 恢复之前的会话（减少握手开销）                    │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### TLS 记录格式

**TLS 记录结构**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 记录格式                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 1.2 记录格式：                                          │
│  ┌──────────┬──────────┬──────────┬─────────────────────┐  │
│  │  ContentType  │ Version  │  Length   │  Fragment       │  │
│  │   (1 byte)  │ (2 bytes)│ (2 bytes) │  (variable)     │  │
│  └──────────┴──────────┴──────────┴─────────────────────┘  │
│                                                             │
│  ContentType 类型：                                          │
│  ├── 20: Change Cipher Spec                                │
│  ├── 21: Alert                                             │
│  ├── 22: Handshake                                         │
│  └── 23: Application Data                                  │
│                                                             │
│  Version：                                                  │
│  ├── TLS 1.0: 0x0301                                       │
│  ├── TLS 1.1: 0x0302                                       │
│  ├── TLS 1.2: 0x0303                                       │
│  └── TLS 1.3: 0x0304                                       │
│                                                             │
│  Fragment（加密后）：                                        │
│  ├── 明文（应用数据）                                       │
│  ├── MAC（完整性校验）                                      │
│  ├── 填充（块加密需要）                                     │
│  └── 认证标签（AEAD 模式）                                  │
│                                                             │
│  最大记录长度：16384 字节（16KB）                           │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## TLS 握手流程

### TLS 1.2 握手

**完整握手流程**：

```
┌─────────────────────────────────────────────────────────────┐
│              TLS 1.2 完整握手流程                           │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  Client                          Server                     │
│    │                              │                         │
│    │──── ClientHello ────────────▶│                         │
│    │  - 支持的 TLS 版本              │                         │
│    │  - 随机数 (Client Random)    │                         │
│    │  - 会话 ID（恢复用）         │                         │
│    │  - 密码套件列表              │                         │
│    │  - 压缩方法                  │                         │
│    │  - 扩展 (SNI, ALPN, ...)     │                         │
│    │                              │                         │
│    │◀──── ServerHello ────────────│                         │
│    │  - 选定的 TLS 版本              │                         │
│    │  - 随机数 (Server Random)    │                         │
│    │  - 会话 ID                   │                         │
│    │  - 选定的密码套件            │                         │
│    │  - 选定的压缩方法            │                         │
│    │                              │                         │
│    │◀──── Certificate ────────────│                         │
│    │  - 服务器证书链              │                         │
│    │                              │                         │
│    │◀──── ServerKeyExchange ──────│（可选，DH/ECDH 需要）    │
│    │  - 服务器密钥交换参数        │                         │
│    │                              │                         │
│    │◀──── ServerHelloDone ────────│                         │
│    │                              │                         │
│    │──── ClientKeyExchange ──────▶│                         │
│    │  - 预主密钥（加密）          │                         │
│    │  - 或 DH/ECDH 参数             │                         │
│    │                              │                         │
│    │──── ChangeCipherSpec ───────▶│                         │
│    │  - 切换到加密通信            │                         │
│    │                              │                         │
│    │──── Finished ───────────────▶│                         │
│    │  - 握手验证（加密）          │                         │
│    │                              │                         │
│    │◀──── ChangeCipherSpec ───────│                         │
│    │                              │                         │
│    │◀──── Finished ───────────────│                         │
│    │  - 握手验证（加密）          │                         │
│    │                              │                         │
│    │◀══════ 加密应用数据 ════════▶│                         │
│    │                              │                         │
│                                                             │
│  密钥派生：                                                  │
│  1. 预主密钥 → 主密钥（使用 Client/Server Random）          │
│  2. 主密钥 → 会话密钥（客户端写/读密钥、服务器写/读密钥）  │
│                                                             │
│  往返次数：2-RTT（两次往返）                                │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### TLS 1.3 握手

**简化握手流程**：

```
┌─────────────────────────────────────────────────────────────┐
│              TLS 1.3 握手流程（1-RTT）                      │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  Client                          Server                     │
│    │                              │                         │
│    │──── ClientHello ────────────▶│                         │
│    │  - TLS 1.3 标识                │                         │
│    │  - Client Random             │                         │
│    │  - 支持的密码套件            │                         │
│    │  - 密钥共享 (Key Share)      │                         │
│    │  - 扩展 (SNI, ALPN, ...)     │                         │
│    │                              │                         │
│    │◀──── ServerHello ────────────│                         │
│    │  - 选定的密码套件            │                         │
│    │  - Server Random             │                         │
│    │  - 密钥共享 (Key Share)      │                         │
│    │                              │                         │
│    │◀──── EncryptedExtensions ────│（加密）                 │
│    │  - 扩展数据（加密传输）      │                         │
│    │                              │                         │
│    │◀──── Certificate ────────────│（加密）                 │
│    │  - 服务器证书链              │                         │
│    │                              │                         │
│    │◀──── CertificateVerify ──────│（加密）                 │
│    │  - 证书签名验证              │                         │
│    │                              │                         │
│    │◀──── Finished ───────────────│（加密）                 │
│    │  - 握手验证                  │                         │
│    │                              │                         │
│    │──── Finished ───────────────▶│（加密）                 │
│    │  - 握手验证                  │                         │
│    │                              │                         │
│    │◀══════ 加密应用数据 ════════▶│                         │
│    │                              │                         │
│                                                             │
│  改进：                                                      │
│  ✓ 握手消息加密（从 ServerHello 后开始）                   │
│  ✓ 减少往返（1-RTT vs 2-RTT）                              │
│  ✓ 移除不安全算法（RSA 密钥交换、静态 DH、SHA-1 等）       │
│  ✓ 强制前向安全（必须使用 ECDHE）                          │
│  ✓ 0-RTT 模式（恢复会话时）                                 │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 0-RTT 模式

**TLS 1.3 0-RTT 快速恢复**：

```
┌─────────────────────────────────────────────────────────────┐
│              TLS 1.3 0-RTT 模式                             │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  前提：客户端之前与服务器建立过会话                         │
│                                                             │
│  Client                          Server                     │
│    │                              │                         │
│    │──── ClientHello ────────────▶│                         │
│    │  - pre_shared_key 扩展        │                         │
│    │  - 早期数据 (0-RTT Data)     │                         │
│    │                              │                         │
│    │◀──── ServerHello ────────────│                         │
│    │  - 接受 PSK                  │                         │
│    │                              │                         │
│    │◀──── EncryptedExtensions ────│                         │
│    │  - 接受 0-RTT                 │                         │
│    │                              │                         │
│    │◀──── Finished ───────────────│                         │
│    │                              │                         │
│    │──── 应用数据 ───────────────▶│（立即发送）             │
│    │                              │                         │
│    │◀══════ 加密应用数据 ════════▶│                         │
│    │                              │                         │
│                                                             │
│  优势：                                                      │
│  ✓ 零往返延迟（首次请求无需等待握手）                      │
│  ✓ 提升用户体验（特别是移动端）                            │
│                                                             │
│  风险：                                                      │
│  ✗ 重放攻击（0-RTT 数据可能被重放）                        │
│  ✗ 无前向安全（0-RTT 数据使用 PSK 加密）                   │
│                                                             │
│  建议：                                                      │
│  ✓ 仅用于幂等操作（GET 请求）                              │
│  ✗ 不用于写操作（POST/PUT/DELETE）                         │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 密钥派生与加密

### 密钥派生流程

**TLS 密钥派生**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 密钥派生流程                           │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 1.2 密钥派生：                                          │
│                                                             │
│  1. 预主密钥 (Pre-Master Secret)                            │
│     ├── RSA：客户端生成，用服务器公钥加密                  │
│     └── DH/ECDH：通过密钥交换计算得出                      │
│                                                             │
│  2. 主密钥 (Master Secret)                                  │
│     Master = PRF(Pre-Master, "master secret",               │
│                  ClientRandom + ServerRandom)               │
│     长度：48 字节                                           │
│                                                             │
│  3. 密钥块 (Key Block)                                      │
│     KeyBlock = PRF(Master, "key expansion",                  │
│                  ServerRandom + ClientRandom)               │
│                                                             │
│  4. 会话密钥（从密钥块分割）                                │
│     ├── 客户端写 MAC 密钥                                    │
│     ├── 服务器写 MAC 密钥                                    │
│     ├── 客户端写加密密钥                                     │
│     ├── 服务器写加密密钥                                     │
│     ├── 客户端写 IV（CBC 模式需要）                         │
│     └── 服务器写 IV（CBC 模式需要）                         │
│                                                             │
│  TLS 1.3 密钥派生（HKDF）：                                  │
│                                                             │
│  1. Early Secret（如果有 PSK）                              │
│     └── HKDF-Extract(PSK, 0x00)                            │
│                                                             │
│  2. Handshake Secret                                       │
│     └── HKDF-Extract(DH_Shared, Early Secret)              │
│         └── 派生握手密钥                                     │
│                                                             │
│  3. Master Secret                                          │
│     └── HKDF-Extract(0x00, Handshake Secret)               │
│         └── 派生应用流量密钥                                 │
│                                                             │
│  4. 流量密钥                                                │
│     ├── client_write_key                                  │
│     ├── server_write_key                                  │
│     ├── client_write_iv                                   │
│     └── server_write_iv                                   │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 加密模式

**TLS 加密模式演进**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 加密模式                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 1.2 及之前：                                            │
│  ├── 块加密（CBC 模式）                                     │
│  │   ├── AES-128-CBC、AES-256-CBC                         │
│  │   ├── 需要 MAC + Encrypt                               │
│  │   └── 漏洞：BEAST、Lucky 13                            │
│  │                                                          │
│  ├── 流加密（RC4）                                          │
│  │   └── 已废弃（多重漏洞）                                │
│  │                                                          │
│  └── AEAD（推荐）                                           │
│      ├── AES-GCM（最常用）                                 │
│      ├── AES-CCM                                           │
│      └── ChaCha20-Poly1305                                │
│                                                             │
│  TLS 1.3：                                                   │
│  └── 仅支持 AEAD 模式                                        │
│      ├── AES-128-GCM、AES-256-GCM                         │
│      └── ChaCha20-Poly1305                                │
│                                                             │
│  AEAD（认证加密）优势：                                      │
│  ✓ 加密 + 认证一体化                                        │
│  ✓ 无需单独 MAC                                             │
│  ✓ 抗填充攻击                                               │
│  ✓ 性能更好                                                 │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 密码套件

### 密码套件命名

**密码套件结构**：

```
┌─────────────────────────────────────────────────────────────┐
│                  密码套件命名                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 1.2 命名格式：                                          │
│  TLS_<密钥交换>_<认证>_<加密>_<MAC>                         │
│                                                             │
│  示例：TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256               │
│  ├── ECDHE：密钥交换（椭圆曲线临时 DH）                    │
│  ├── RSA：认证（RSA 签名）                                 │
│  ├── AES_128_GCM：加密（AES-128-GCM）                     │
│  └── SHA256：MAC/PRF 哈希                                  │
│                                                             │
│  TLS 1.3 命名格式（简化）：                                  │
│  TLS_AES_128_GCM_SHA256                                    │
│  ├── AES_128_GCM：加密算法                                 │
│  └── SHA256：HKDF 哈希                                     │
│  （密钥交换和认证通过扩展协商）                            │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 推荐密码套件

**安全密码套件推荐**：

```
┌─────────────────────────────────────────────────────────────┐
│              推荐密码套件（2024 年）                        │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  TLS 1.3 首选：                                              │
│  ├── TLS_AES_256_GCM_SHA384                               │
│  ├── TLS_AES_128_GCM_SHA256                               │
│  └── TLS_CHACHA20_POLY1305_SHA256                         │
│                                                             │
│  TLS 1.2 推荐：                                              │
│  ├── TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384               │
│  ├── TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256               │
│  ├── TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384             │
│  ├── TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256             │
│  └── TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256         │
│                                                             │
│  已废弃（不应使用）：                                        │
│  ✗ 任何包含 RSA 密钥交换的（无前向安全）                   │
│  ✗ 任何包含静态 DH 的（无前向安全）                        │
│  ✗ 任何包含 RC4 的（已攻破）                               │
│  ✗ 任何包含 DES/3DES 的（弱加密）                          │
│  ✗ 任何包含 MD5 的（已攻破）                               │
│  ✗ 任何包含 SHA-1 的（已攻破）                             │
│  ✗ 任何 CBC 模式（除非必要）                               │
│  ✗ TLS 1.0/1.1（已废弃）                                   │
│                                                             │
│  配置示例（Nginx）：                                         │
│  ssl_protocols TLSv1.2 TLSv1.3;                           │
│  ssl_ciphers 'TLS_AES_256_GCM_SHA384:                     │
│               TLS_AES_128_GCM_SHA256:                     │
│               TLS_CHACHA20_POLY1305_SHA256:               │
│               ECDHE-RSA-AES256-GCM-SHA384:                │
│               ECDHE-RSA-AES128-GCM-SHA256';               │
│  ssl_prefer_server_ciphers off;                           │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 证书验证

### 证书链验证

**TLS 证书验证流程**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 证书验证流程                           │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  1. 接收证书链                                              │
│     ├── 服务器证书（终端实体）                             │
│     ├── 中间 CA 证书（可选）                                 │
│     └── 根 CA 证书（通常不发送，客户端内置）                │
│                                                             │
│  2. 验证证书链                                              │
│     ├── 验证签名（每级证书的签名）                         │
│     ├── 验证有效期（所有证书）                             │
│     ├── 验证名称匹配（CN 或 SAN）                          │
│     └── 验证扩展（密钥用途、CA 约束等）                    │
│                                                             │
│  3. 检查吊销状态                                            │
│     ├── CRL（证书吊销列表）                                │
│     ├── OCSP（在线证书状态协议）                           │
│     └── OCSP Stapling（服务器提供）                        │
│                                                             │
│  4. 验证公钥                                                │
│     ├── 密钥长度足够                                        │
│     ├── 算法安全（RSA 2048+、ECDSA P-256+）               │
│     └── 密钥用途正确                                       │
│                                                             │
│  5. 验证通过 → 继续握手                                     │
│     验证失败 → 发送警报，终止连接                          │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 证书透明度

**Certificate Transparency (CT)**：

```
┌─────────────────────────────────────────────────────────────┐
│                  证书透明度 (CT)                            │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  问题：                                                      │
│  CA 可能错误签发证书（或被攻破）                           │
│  域名所有者可能不知情                                       │
│                                                             │
│  解决方案：                                                  │
│  所有公开信任的证书必须记录到 CT 日志                       │
│                                                             │
│  工作原理：                                                  │
│  1. CA 签发证书后，提交到 CT 日志                            │
│  2. CT 日志返回 SCT（Signed Certificate Timestamp）        │
│  3. 服务器在 TLS 握手中提供 SCT                            │
│  4. 客户端验证 SCT 存在且有效                               │
│                                                             │
│  优势：                                                      │
│  ✓ 公开可审计（任何人都可以查询 CT 日志）                  │
│  ✓ 快速检测错误签发                                         │
│  ✓ 增加攻击成本                                             │
│                                                             │
│  要求：                                                      │
│  ✓ Chrome/Firefox 要求 EV 证书必须有 CT                    │
│  ✓ Apple 要求所有公开信任证书有 CT                         │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## TLS 1.3 新特性

### 主要改进

**TLS 1.3 vs TLS 1.2**：

```
┌─────────────────────────────────────────────────────────────┐
│              TLS 1.3 主要改进                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  性能改进：                                                  │
│  ├── 1-RTT 握手（vs 2-RTT）                                │
│  ├── 0-RTT 快速恢复                                         │
│  └── 减少延迟，提升用户体验                                 │
│                                                             │
│  安全改进：                                                  │
│  ├── 移除不安全算法                                         │
│  │   ✗ RSA 密钥交换（无前向安全）                          │
│  │   ✗ 静态 DH（无前向安全）                               │
│  │   ✗ RC4、DES、3DES（弱加密）                            │
│  │   ✗ MD5、SHA-1（弱哈希）                                │
│  │   ✗ CBC 模式（易受攻击）                                │
│  │   ✗ 压缩（CRIME 攻击）                                  │
│  │                                                          │
│  ├── 强制前向安全                                           │
│  │   └── 必须使用 ECDHE 密钥交换                           │
│  │                                                          │
│  ├── 加密握手消息                                           │
│  │   └── 从 ServerHello 后所有消息加密                     │
│  │                                                          │
│  └── 简化密码套件                                           │
│      └── 仅 AEAD 模式（GCM、ChaCha20）                     │
│                                                             │
│  其他改进：                                                  │
│  ├── 更清晰的协议设计                                       │
│  ├── 更好的扩展机制                                         │
│  └── 向下兼容（支持 TLS 1.2 回退）                         │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 部署状态

**TLS 1.3 采用情况**：

```
┌─────────────────────────────────────────────────────────────┐
│              TLS 1.3 部署状态（2024 年）                    │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  浏览器支持：                                                │
│  ├── Chrome 70+ ✓                                          │
│  ├── Firefox 63+ ✓                                         │
│  ├── Safari 12.1+ ✓                                        │
│  ├── Edge 76+ ✓                                            │
│  └── 市场份额：>95% 支持 TLS 1.3                            │
│                                                             │
│  服务器支持：                                                │
│  ├── Nginx 1.13.0+ ✓                                       │
│  ├── Apache 2.4.37+ ✓                                      │
│  ├── OpenSSL 1.1.1+ ✓                                      │
│  ├── Cloudflare ✓                                          │
│  └── AWS/Azure/GCP ✓                                       │
│                                                             │
│  采用率：                                                    │
│  ├── 全球网站：~60% 支持 TLS 1.3                            │
│  ├── 顶级网站：~80% 支持 TLS 1.3                            │
│  └── 趋势：快速增长中                                       │
│                                                             │
│  建议：                                                      │
│  ✓ 新系统默认启用 TLS 1.3                                   │
│  ✓ 旧系统同时支持 TLS 1.2 和 1.3                           │
│  ✗ 不要仅支持 TLS 1.3（兼容性考虑）                        │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 实战配置

### Nginx TLS 配置

**最佳实践配置**：

```nginx
# /etc/nginx/conf.d/ssl.conf

# TLS 协议
ssl_protocols TLSv1.2 TLSv1.3;

# 密码套件（TLS 1.3）
ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256';
ssl_prefer_server_ciphers off;

# 证书
ssl_certificate /etc/nginx/ssl/example.com.crt;
ssl_certificate_key /etc/nginx/ssl/example.com.key;

# OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/chain.crt;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

# 会话管理
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;  # 禁用会话票证（前向安全）

# HSTS
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# 其他安全头部
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;

# DH 参数（TLS 1.2 ECDHE 需要）
# openssl dhparam -out /etc/nginx/ssl/dhparam.pem 4096
ssl_dhparam /etc/nginx/ssl/dhparam.pem;
```

### OpenSSL 测试

**TLS 配置测试**：

```bash
# 测试 TLS 版本
openssl s_client -connect example.com:443 -tls1_3
openssl s_client -connect example.com:443 -tls1_2

# 测试密码套件
openssl s_client -connect example.com:443 -cipher 'AES256-GCM-SHA384'

# 查看证书链
openssl s_client -connect example.com:443 -showcerts

# 检查 OCSP Stapling
openssl s_client -connect example.com:443 -status

# 使用 nmap 扫描
nmap --script ssl-enum-ciphers -p 443 example.com

# 使用 testssl.sh（推荐）
git clone https://github.com/drwetter/testssl.sh.git
./testssl.sh example.com
```

---

## 安全实践

### 最佳实践

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 安全实践                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  协议配置：                                                  │
│  ✓ 启用 TLS 1.2 和 1.3                                       │
│  ✗ 禁用 TLS 1.0/1.1、SSL                                    │
│  ✓ 优先 TLS 1.3                                             │
│                                                             │
│  密码套件：                                                  │
│  ✓ 使用 AEAD 模式（GCM、ChaCha20）                         │
│  ✓ 优先 ECDHE 密钥交换                                      │
│  ✗ 禁用 RSA 密钥交换、静态 DH                              │
│  ✗ 禁用弱加密（RC4、DES、3DES）                            │
│                                                             │
│  证书管理：                                                  │
│  ✓ 使用受信任的 CA 签发                                     │
│  ✓ 启用 OCSP Stapling                                       │
│  ✓ 启用证书透明度（CT）                                     │
│  ✓ 监控证书过期（提前 30 天告警）                           │
│  ✓ 使用 2048 位+ RSA 或 256 位+ ECDSA                        │
│                                                             │
│  其他配置：                                                  │
│  ✓ 启用 HSTS（强制 HTTPS）                                 │
│  ✓ 禁用会话票证（或定期轮换密钥）                          │
│  ✓ 使用强 DH 参数（4096 位）                                │
│  ✓ 启用 ALPN（应用层协议协商）                             │
│                                                             │
│  监控与测试：                                                │
│  ✓ 定期使用 testssl.sh 扫描                                 │
│  ✓ 监控 SSL Labs 评级（目标 A+）                            │
│  ✓ 监控证书吊销                                             │
│  ✓ 记录 TLS 握手失败                                        │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 常见错误

**TLS 配置错误**：

```
错误 1：支持过时协议
✗ ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
✓ ssl_protocols TLSv1.2 TLSv1.3;

错误 2：使用弱密码套件
✗ ssl_ciphers 'ALL:!aNULL:!eNULL';
✓ ssl_ciphers 'ECDHE-RSA-AES256-GCM-SHA384:...';

错误 3：证书链不完整
✗ 仅配置服务器证书
✓ 配置完整证书链（服务器 + 中间 CA）

错误 4：未启用 OCSP Stapling
✗ 客户端需要查询 OCSP（增加延迟）
✓ 服务器提供 OCSP 响应（ssl_stapling on）

错误 5：HSTS 配置错误
✗ 未设置 HSTS 或 max-age 太短
✓ add_header Strict-Transport-Security "max-age=63072000" always;
```

---

## 总结与思考

### 核心要点回顾

**TLS 协议知识框架**：

```
┌─────────────────────────────────────────────────────────────┐
│                  TLS 协议知识框架                           │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  协议版本：                                                  │
│  ├── SSL 2.0/3.0：已废弃                                   │
│  ├── TLS 1.0/1.1：已废弃                                   │
│  ├── TLS 1.2：当前主流                                      │
│  └── TLS 1.3：最新标准，推荐使用                           │
│                                                             │
│  握手流程：                                                  │
│  ├── TLS 1.2：2-RTT 完整握手                               │
│  ├── TLS 1.3：1-RTT 简化握手                               │
│  └── TLS 1.3 0-RTT：快速恢复                               │
│                                                             │
│  密码套件：                                                  │
│  ├── 密钥交换：ECDHE（强制前向安全）                       │
│  ├── 认证：RSA、ECDSA                                      │
│  ├── 加密：AES-GCM、ChaCha20-Poly1305                     │
│  └── 哈希：SHA-256、SHA-384                                │
│                                                             │
│  安全实践：                                                  │
│  ├── 启用 TLS 1.2/1.3                                       │
│  ├── 使用强密码套件                                         │
│  ├── 正确配置证书                                           │
│  └── 启用 HSTS、OCSP Stapling                              │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 深入思考

**1. 为什么 TLS 1.3 如此重要？**

TLS 1.3 是 TLS 协议的重大革新：
- 安全性：移除所有已知不安全算法
- 性能：减少握手延迟，提升用户体验
- 简洁：协议设计更清晰，实现更简单

**2. 前向安全为什么重要？**

前向安全确保即使服务器私钥泄露，历史会话也不会被解密：
- TLS 1.2：需要配置 ECDHE 才能实现
- TLS 1.3：强制要求，所有连接都有前向安全

**3. 零信任与 TLS**

TLS 是零信任架构的基础：
- 加密所有通信
- 验证所有身份
- 不信任网络

---

## 参考资料

### 标准与规范

```
- RFC 8446: TLS 1.3
- RFC 5246: TLS 1.2
- RFC 6101: SSL 3.0（历史）
- CA/Browser Forum Baseline Requirements
```

### 工具与资源

```
- OpenSSL: https://www.openssl.org/
- testssl.sh: https://testssl.sh/
- SSL Labs: https://www.ssllabs.com/ssltest/
- Mozilla SSL Config Generator: https://ssl-config.mozilla.org/
```

### 学习资源

```
- 《Bulletproof SSL and TLS》- Ivan Ristić
- Cloudflare SSL/TLS Handbook
- OWASP TLS Cheat Sheet
```

---

*365 天信息安全技术系列 | Day 186 | 密码学系列第 6 篇*

> TLS 是互联网安全的基石。理解 TLS，是理解现代网络安全通信的基础。

> 本文内容仅供学习和研究使用，请勿用于非法目的。

---

*本文是 365 天信息安全技术系列的第 186 篇，密码学系列第 6 篇*

*密码学系列继续！*