1
+-----------------------------------+
2
|           Application             |  HTTP, FTP, SMTP
3
+-----------------------------------+
4
|              TLS                  |  安全层
5
+-----------------+-----------------+
6
|      Handshake  |     Record      |
7
|     Protocol    |    Protocol     |
8
+-----------------+-----------------+
9
|              TCP                  |  传输层
10
+-----------------------------------+
11
|               IP                  |  网络层
12
+-----------------------------------+

1
 0                   1                   2                   3
2
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
3
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
4
|            ContentType        |         Version               |
5
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
6
|                          Length                                |
7
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
8
|                     Fragment (plaintext)                       |
9
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

1
// ClientHello 消息结构
2
const clientHello = {
3
  clientVersion: 0x0303, // TLS 1.2
4
  random: {
5
    gmt_unix_time: 1711065600,
6
    random_bytes: "28字节的随机数",
7
  },
8
  session_id: "", // 首次连接为空
9
  cipher_suites: [
10
    0xC02F, // TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
11
    0xC030, // TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
12
    0xC013, // TLS_RSA_WITH_AES_128_CBC_SHA
13
    0xC014, // TLS_RSA_WITH_AES_256_CBC_SHA
14
  ],
15
  compression_methods: [0x00], // 无压缩
16
  extensions: {
17
    server_name: "example.com",
18
    ec_point_formats: [0x00], // uncompressed
19
    elliptic_curves: [0x001D, 0x0017, 0x0018], // x25519, secp256r1, secp384r1
20
    signature_algorithms: [
21
      { hash: "SHA256", sign: "RSA" },
22
      { hash: "SHA384", sign: "RSA" },
23
      { hash: "SHA256", sign: "ECDSA" },
24
    ],
25
    session_ticket: "", // 空表示支持但不持有
26
  },
27
};

1
TLSv1.2 ClientHello
2
  Version: TLS 1.2 (0x0303)
3
  Random:
4
    gmt_unix_time: Mar 22, 2026 08:00:00.000000000 CST
5
    random_bytes: a3f2b8c1d4e5...
6
  Session ID Length: 0
7
  Cipher Suites (4 suites)
8
    TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
9
    TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
10
    TLS_RSA_WITH_AES_128_CBC_SHA
11
    TLS_RSA_WITH_AES_256_CBC_SHA
12
  Extensions:
13
    server_name: example.com
14
    supported_groups: x25519, secp256r1, secp384r1
15
    signature_algorithms: rsa_pkcs1_sha256, ecdsa_secp256r1_sha256

1
TLSv1.2 ServerHello
2
  Version: TLS 1.2 (0x0303)
3
  Random:
4
    gmt_unix_time: Mar 22, 2026 08:00:00.100000000 CST
5
    random_bytes: 7e3a1b9c2d8f...
6
  Session ID Length: 32
7
  Session ID: 5a6b7c8d9e0f...
8
  Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xC02F)
9
  Compression Method: null (0x00)
10
  Extensions:
11
    renegotiation_info: (empty)
12
    ec_point_formats: uncompressed

1
根 CA 证书（预装在操作系统/浏览器）
2
  └── 中间 CA 证书
3
        └── 服务器证书（example.com）
4

5
验证步骤：
6
1. 服务器证书的签发者 == 中间 CA 的主题
7
2. 中间 CA 证书的签发者 == 根 CA 的主题
8
3. 根 CA 证书在信任库中
9
4. 所有证书在有效期内
10
5. 证书未被吊销（CRL/OCSP）

1
// TLS 1.2 ECDHE 密钥生成流程
2
// 1. 密钥交换
3
const serverECDH = generateECDHKeyPair("x25519");
4
// 服务端发送公钥 serverECDH.pubKey
5

6
const clientECDH = generateECDHKeyPair("x25519");
7
// 客户端发送公钥 clientECDH.pubKey
8

9
const preMasterSecret = computeSharedSecret(
10
  clientECDH.privKey,
11
  serverECDH.pubKey
12
);
13

14
// 2. 生成 Master Secret
15
const masterSecret = PRF(
16
  preMasterSecret,
17
  "master secret",
18
  clientRandom + serverRandom
19
)[0..47]; // 48 字节
20

21
// 3. 扩展为密钥材料
22
const keyBlock = PRF(
23
  masterSecret,
24
  "key expansion",
25
  serverRandom + clientRandom
26
);
27

28
// 4. 切分密钥材料
29
const clientWriteMACKey = keyBlock[0..19]; // 20 字节 HMAC-SHA1
30
const serverWriteMACKey = keyBlock[20..39];
31
const clientWriteKey = keyBlock[40..55]; // 16 字节 AES-128
32
const serverWriteKey = keyBlock[56..71];
33
const clientWriteIV = keyBlock[72..79]; // 8 字节（GCM 则为 4 字节 nonce）
34
const serverWriteIV = keyBlock[80..87];

1
// verify_data 验证握手完整性
2
const verifyData = PRF(
3
  masterSecret,
4
  "client finished",
5
  Hash(handshakeMessages)
6
)[0..11]; // 12 字节
7

8
// Hash 包含所有握手消息（不含 ChangeCipherSpec）
9
// 任何中间人篡改都会导致 verify_data 不匹配

1
TLS_<密钥交换算法>_<身份验证算法>_WITH_<加密算法>_<MAC算法>
2

3
示例：TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
4
      ├─────┤ ├───┤        ├──┤  ├───┤
5
         │      │            │      │
6
     密钥交换  认证        加密    哈希/AEAD

1
攻击场景：
2
1. 攻击者录制所有加密流量
3
2. 一年后服务器私钥泄露
4
3. 攻击者用私钥解密所有历史流量中的预主密钥
5
4. 由预主密钥推导出会话密钥
6
5. 解密所有历史通信内容

1
// Diffie-Hellman 密钥交换
2
// 公共参数：p（大素数）, g（生成元）
3

4
// 服务端
5
const serverPrivate = randomBigInt(); // a
6
const serverPublic = pow(g, serverPrivate) % p; // g^a mod p
7

8
// 客户端
9
const clientPrivate = randomBigInt(); // b
10
const clientPublic = pow(g, clientPrivate) % p; // g^b mod p
11

12
// 双方计算共享密钥
13
const sharedSecret_server = pow(clientPublic, serverPrivate) % p; // (g^b)^a mod p
14
const sharedSecret_client = pow(serverPublic, clientPrivate) % p; // (g^a)^b mod p
15
// g^(ab) mod p == g^(ba) mod p

1
ServerKeyExchange 消息（DHE）:
2
  dh_p:    大素数 p（2048 bits）
3
  dh_g:    生成元 g（通常为 2）
4
  dh_Ys:   服务端公钥 g^a mod p
5
  signature: 用服务器私钥对上述参数的签名

1
// Go 标准库 ECDHE 密钥交换
2
// 参考: https://github.com/golang/go/blob/go1.25.0/src/crypto/tls/key_agreement.go
3

4
func (ka *ecdheKeyAgreement) generateServerKeyShare(config *Config, version uint16) error {
5
    // 选择曲线
6
    curveID := ka.curveID
7
    // 生成临时密钥对
8
    key, err := generateECDHEKey(curveID)
9
    if err != nil {
10
        return err
11
    }
12
    ka.key = key
13
    return nil
14
}
15

16
func (ka *ecdheKeyAgreement) processClientKeyShare(curveID CurveID, clientPublic []byte) ([]byte, error) {
17
    // 计算共享密钥
18
    sharedKey, err := ka.key.ECDH(clientPublic)
19
    if err != nil {
20
        return nil, err
21
    }
22
    return sharedKey, nil
23
}

1
TLS 1.3 支持的密码套件：
2
  TLS_AES_128_GCM_SHA256
3
  TLS_AES_256_GCM_SHA384
4
  TLS_CHACHA20_POLY1305_SHA256
5
  TLS_AES_128_CCM_SHA256
6
  TLS_AES_128_CCM_8_SHA256
7

8
移除的算法：
9
  RC4（已破解）
10
  3DES（过时）
11
  CBC 模式（易受填充 oracle 攻击）
12
  RSA 密钥交换（无 PFS）
13
  MD5/SHA-1（碰撞攻击）
14
  DHE（性能差，1024-bit 不安全）
15
  静态 ECDH（无 PFS）

1
连接 1: ECDHE 密钥对 A → 共享密钥 K1（会话结束后销毁 A）
2
连接 2: ECDHE 密钥对 B → 共享密钥 K2（会话结束后销毁 B）
3
连接 3: ECDHE 密钥对 C → 共享密钥 K3（会话结束后销毁 C）
4

5
即使 K1 泄露，K2 和 K3 不受影响。
6
即使服务器长期私钥泄露，K1/K2/K3 均无法推导。

1
// Go 标准库 Session Ticket 处理
2
// 参考: https://github.com/golang/go/blob/go1.25.0/src/crypto/tls/ticket.go
3

4
type sessionState struct {
5
    version     uint16
6
    cipherSuite uint16
7
    createdAt   uint64
8
    masterSecret []byte
9
    certificates [][]byte
10
}
11

12
func (c *Conn) encryptTicket(state []byte) ([]byte, error) {
13
    // 使用服务端配置的密钥加密 Ticket
14
    encrypted := aesGCMSeal(c.config.SessionTicketKey, state)
15
    return encrypted, nil
16
}
17

18
func (c *Conn) decryptTicket(encrypted []byte) ([]byte, error) {
19
    // 解密 Ticket 恢复会话状态
20
    state, err := aesGCMOpen(c.config.SessionTicketKey, encrypted)
21
    if err != nil {
22
        return nil, err // 解密失败，回退到完整握手
23
    }
24
    return state, nil
25
}

1
// TLS 1.3 Pre-Shared Key
2
// 服务端发送 NewSessionTicket 消息
3

4
const newSessionTicket = {
5
  ticket_lifetime: 7200, // 2 小时
6
  ticket_age_add: 0x3A7B2C1D, // 随机偏移量（防客户端指纹）
7
  ticket_nonce: Buffer.from("01"),
8
  ticket: Buffer.from("加密的会话数据"),
9
  extensions: {},
10
};
11

12
// 客户端恢复时发送 pre_shared_key 扩展
13
const clientHello = {
14
  // ... 其他字段
15
  extensions: {
16
    pre_shared_key: {
17
      identities: [
18
        {
19
          identity: newSessionTicket.ticket,
20
          obfuscated_ticket_age:
21
            (Date.now() - ticketReceivedTime + newSessionTicket.ticket_age_add) %
22
            0xFFFFFFFF,
23
        },
24
      ],
25
      binders: [
26
        hmac(psk, "ClientHello 的哈希前缀"), // 证明拥有 PSK
27
      ],
28
    },
29
  },
30
};

1
// TLS 1.3 降级保护机制
2
// ServerHello.random 的最后 8 字节会被特殊标记
3

4
function detectDowngrade(serverHello, supportedVersion) {
5
  const last8Bytes = serverHello.random.slice(24, 32);
6

7
  if (supportedVersion === 0x0304) {
8
    // 客户端支持 TLS 1.3
9
    // 但服务端协商了 TLS 1.2
10
    if (serverHello.version === 0x0303) {
11
      // 检查是否有降级标记
12
      const downgradeSentinel = Buffer.from("44 4F 57 4E 47 52 44 01", "hex");
13
      if (last8Bytes.equals(downgradeSentinel)) {
14
        // 服务端主动降级，合法
15
        return;
16
      }
17
      // 攻击者强制降级，断开连接
18
      throw new Error("降级攻击检测");
19
    }
20
  }
21
}

1
# Nginx 启用 OCSP Stapling
2
ssl_stapling on;
3
ssl_stapling_verify on;
4
ssl_trusted_certificate /path/to/chain.pem;
5
resolver 8.8.8.8 8.8.4.4 valid=300s;

1
# Nginx TLS 优化配置
2

3
# 使用 TLS 1.2 和 1.3
4
ssl_protocols TLSv1.2 TLSv1.3;
5

6
# 优先使用服务端密码套件顺序
7
ssl_prefer_server_ciphers on;
8

9
# 推荐密码套件
10
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
11

12
# 启用 Session Ticket
13
ssl_session_tickets on;
14
ssl_session_timeout 1d;
15
ssl_session_cache shared:SSL:50m;
16

17
# 启用 OCSP Stapling
18
ssl_stapling on;
19
ssl_stapling_verify on;
20

21
# 启用 0-RTT (TLS 1.3)
22
ssl_early_data on;

1
# 测试 TLS 握手
2
openssl s_client -connect example.com:443 -tls1_2
3

4
# 查看 TLS 1.3 握手
5
openssl s_client -connect example.com:443 -tls1_3
6

7
# 查看证书链
8
openssl s_client -connect example.com:443 -showcerts
9

10
# 测试特定密码套件
11
openssl s_client -connect example.com:443 \
12
  -cipher 'ECDHE-RSA-AES128-GCM-SHA256'
13

14
# 测试 OCSP Stapling
15
openssl s_client -connect example.com:443 -status

1
# 抓取 TLS 握手
2
tcpdump -i eth0 'tcp port 443' -w tls_handshake.pcap
3

4
# 只看 ClientHello 和 ServerHello
5
tshark -r tls_handshake.pcap \
6
  -Y "tls.handshake.type == 1 || tls.handshake.type == 2"
7

8
# 查看协商的密码套件
9
tshark -r tls_handshake.pcap \
10
  -Y "tls.handshake.type == 2" \
11
  -T fields -e tls.cipher_suite

1
# 检查服务器 TLS 配置
2
nmap --script ssl-enum-ciphers -p 443 example.com
3

4
# 使用 testssl.sh
5
testssl.sh example.com
6

7
# 在线检测
8
# https://www.ssllabs.com/ssltest/