Рукопожатие за 1 RTT: key share и ECDHE

Браузер открывает TCP-соединение и немедленно отправляет ClientHello. Это единственное сообщение содержит и список шифров, и половину ключа шифрования — сервер может вычислить общий секрет прямо здесь и ответить зашифрованными данными за один проход. Именно так TLS 1.3 превращает два RTT в один.

Рукопожатие за 1 RTT: шаг за шагом

Шаг 1 — ClientHello. Клиент отправляет: список версий TLS (через расширение supported_versions), поддерживаемые наборы шифров, поддерживаемые именованные группы (кривые), поддерживаемые алгоритмы подписи и расширение key_share с как минимум одним публичным ключом ECDHE — обычно x25519.

Шаг 2 — ServerHello. Сервер выбирает набор шифров (например TLS_AES_128_GCM_SHA256), выбирает именованную группу из key_share клиента, генерирует собственную эфемерную пару ключей и отвечает своим публичным ключом. Теперь обе стороны знают публичные ключи друг друга и могут запустить ECDHE для вывода общего секрета.

Шаг 3 — Зашифрованное рукопожатие. Сервер немедленно выводит ключ трафика рукопожатия из общего секрета и отправляет EncryptedExtensions, Certificate, CertificateVerify и серверный Finished — все зашифрованные — в одном сетевом проходе.

Шаг 4 — Клиент завершает. Клиент выводит тот же ключ трафика, расшифровывает сообщения сервера, проверяет цепочку сертификатов, проверяет подпись CertificateVerify над транскриптом, проверяет HMAC серверного Finished, отправляет клиентский Finished и начинает передавать данные приложения.

Итого round-trip: один. ClientHello уходит, ServerHello + зашифрованное рукопожатие приходит, клиентский Finished + первые данные приложения уходят — всё в одном сетевом обмене.

ECDHE: обмен ключами за key share

Обе стороны договариваются о кривой (обычно x25519 для производительности или P-256 для FIPS). Каждая генерирует приватный скаляр (случайное 256-битное целое) и вычисляет публичную точку: public = private · G, где G — базовый генератор кривой. Антон отправляет свою публичную точку в key_share, Дима — свою в ответ. Каждый вычисляет общий секрет, умножая публичную точку другого на свой приватный скаляр:

• Антон: shared = ant_private · dim_public
• Дима: shared = dim_private · ant_public

Оба получают одну и ту же точку на кривой. Подслушивающий, который видел только публичные точки, не может её восстановить без решения задачи дискретного логарифма на эллиптической кривой — неразрешимой для правильно выбранных кривых на классическом оборудовании.

Perfect Forward Secrecy (PFS)

Оба клиент и сервер используют эфемерные пары ключей, сгенерированные заново для каждого соединения и уничтожаемые после него. Если злоумышленник позже украдёт долгосрочный приватный ключ Димы с диска, прошлые сессии всё равно не расшифруются — они использовали эфемерные ключи, которых уже нет. Это и есть Perfect Forward Secrecy.

TLS 1.2 позволял RSA-транспорт ключей: клиент шифровал секрет сессии долгосрочным публичным ключом сервера. Кража приватного ключа означала расшифровку всех записанных прошлых сессий. TLS 1.3 требует эфемерный обмен ключами, делая PFS настройкой по умолчанию.

Проверка цепочки сертификатов

Получив Certificate, клиент видит цепочку: листовой сертификат для хоста, затем один или несколько промежуточных. Он обходит цепочку снизу вверх:

1. Проверить, что листовой подписан промежуточным.
2. Проверить, что промежуточный подписан корневым.
3. Убедиться, что корень находится в локальном хранилище доверия.
4. Проверить, что SAN (Subject Alternative Names) листового включают хост подключения.
5. Проверить срок действия (notBefore <= now <= notAfter).
6. Проверить отзыв (CRLite, stapled OCSP или политика короткоживущих сертификатов).

Если хоть один шаг провалился — соединение завершается с fatal alert (например unknown_ca).

Хеш транскрипта и Finished

Каждый байт, отправленный в ходе рукопожатия, поступает в накапливаемый SHA-256-дайджест — хеш транскрипта. Сообщение Finished — это HMAC(finished_key, transcript_hash). Если один бит на проводе был перевёрнут или подменён — HMAC не совпадёт и соединение прервётся. Именно так TLS 1.3 обнаруживает атаки понижения версии: транскрипт записывает первоначально предложенную клиентом версию, поэтому попытка middlebox’а принудить к TLS 1.2 сломает проверку Finished.