TLS 1.3 协议与证书链

TLS 1.2 → TLS 1.3 删除项：
  - RSA 静态密钥交换（无前向保密，密钥泄露可回溯解密）
  - CBC 模式与 RC4 流密码（BEAST、POODLE、Lucky13）
  - 压缩（CRIME 攻击可推断明文）
  - 重协商（Renegotiation，历史上可注入前缀）
  - 自定义 DH 参数（Logjam 攻击）
  - 明文形式的 Certificate 之外的多余字段

Client                                          Server
------                                          ------
ClientHello
  + supported_versions = 1.3
  + key_share (X25519 公钥)
  + signature_algorithms
  + server_name (SNI)
                        ------------------>
                                                ServerHello
                                                  + key_share
                                                {EncryptedExtensions}
                                                {Certificate}
                                                {CertificateVerify}
                                                {Finished}
                        <------------------
{Finished}
  + Application Data
                        ------------------>
                                                Application Data

HelloRetryRequest 触发条件：
  - ClientHello 的 key_share 不含服务端偏好的组
  - 服务端在 supported_groups 里选了另一个组

代价：握手从 1-RTT 退化为 2-RTT
缓解：客户端默认发送 X25519 + P-256 两个 key_share

会话恢复（1-RTT，PSK 模式）：
  1. 首次握手完成后，服务端发送 NewSessionTicket
     - ticket_lifetime
     - ticket_age_add（用于 0-RTT 年龄计算）
     - ticket_nonce（派生 PSK 用）
  2. 客户端缓存 ticket
  3. 下次连接，ClientHello 携带 pre_shared_key 扩展
  4. 服务端解密 ticket，恢复 PSK，直接进入加密握手

0-RTT 的安全边界：
  - 无前向保密：PSK 泄露可解密 early data
  - 可重放：无服务端挑战，重放不可检测
  - 因此只允许幂等请求（GET、安全查询）
  - 禁止：POST 转账、下单、任何有副作用的写操作

X.509 证书关键字段：
  tbsCertificate:
    version, serialNumber
    signatureAlgorithm          # 签发算法
    issuer / subject            # 颁发者 / 主体 DN
    validity                    # notBefore / notAfter
    subjectPublicKeyInfo        # 公钥
    extensions:
      subjectAltName (SAN)      # 关键：现代校验只看 SAN
      basicConstraints          # CA:TRUE 才能签发下级
      keyUsage / extKeyUsage    # serverAuth
      CRLDistributionPoints / OCSP  # 吊销信息
      authorityInfoAccess (AIA) # OCSP 与签发者地址
  signatureValue

验证步骤：
  1. 从叶证书向上构建链，直到命中本地信任库中的根证书
  2. 每一级：用 issuer 公钥验证 subject 签名
  3. 检查 basicConstraints：中间证书必须 CA:TRUE
  4. 检查有效期（notBefore / notAfter）
  5. 检查 SAN 是否匹配目标主机名（不再看 CN）
  6. 检查 keyUsage / extKeyUsage 是否允许 serverAuth
  7. 查询吊销状态（CRL 或 OCSP）

# 查看证书链与验证结果
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null

# 只看叶证书的 SAN 与有效期
echo | openssl s_client -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -subject -ext subjectAltName -dates

# 验证链是否完整（-CAfile 指定信任锚）
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt fullchain.pem

密钥调度（简化）：
                0
                |
   PSK ───> HKDF-Extract ──> Early Secret
                                   |
                                 Derive-Secret
                                   |
   (EC)DHE ─> HKDF-Extract ──> Handshake Secret
                                   |
                                 Derive-Secret
                                   |
                0 ───> HKDF-Extract ──> Master Secret
                                          |
                                   Derive-Secret
                                          |
                         client_application_traffic_secret_0
                         server_application_traffic_secret_0

每个 Secret 再派生出：key（AEAD 密钥）+ iv（nonce 基数）

KeyUpdate 语义：
  update_requested     -> 对方必须回复自己的 KeyUpdate
  update_not_requested -> 单向轮换，对方可稍后再轮换
  约束：每轮换一次，traffic_secret 序号 +1

# 强制 TLS 1.3，查看协商的套件与组
openssl s_client -connect example.com:443 -tls1_3 -groups X25519 </dev/null 2>&1 | head -30

# 打印握手报文（观察 key_share、EncryptedExtensions）
openssl s_client -connect example.com:443 -tls1_3 -msg </dev/null 2>&1 | grep -A2 ">>>"

# 导出密钥供 Wireshark 解密
openssl s_client -connect example.com:443 -keylogfile keys.log </dev/null

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;          # TLS 1.3 下交给客户端选更快
ssl_session_cache shared:SSL:50m;       # 会话恢复缓存
ssl_session_timeout 1d;
ssl_session_tickets on;                 # 0-RTT 依赖 ticket
ssl_early_data on;                      # 开启 0-RTT（仅幂等接口）
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 valid=300s;            # OCSP Stapling 需要
add_header Strict-Transport-Security "max-age=63072000" always;

# 确认 CPU 是否支持 AES-NI
grep -o aes /proc/cpuinfo | head -1

# 测本地加解密能力（对比 aes-128-gcm 与 chacha20-poly1305）
openssl speed -evp aes-128-gcm
openssl speed -evp chacha20-poly1305

# 观察软中断与系统 CPU 占比，判断是否需卸载
mpstat -P ALL 1

# 开启 kTLS：把 TLS 记录层发送卸载到内核
ssl_conf_command Options KTLS;

典型 HTTPS 连接时间线（冷启动）：
  DNS 解析        :  5 ~ 50 ms
  TCP 三次握手     :  1 个 RTT
  TLS 握手         :  1 个 RTT（TLS 1.3）
  首字节（TTFB）   :  1 个 RTT
  ------------------------------------
  总计             :  DNS + 3 个 RTT

优化点：
  - DNS：预解析、HTTPDNS、缩短 TTL 链路
  - TCP+TLS：TLS 1.3 把两者合并到 2 个 RTT
  - 复用：会话恢复或 0-RTT 直接砍掉 TLS 往返