20、网络安全技术：TLS 1.3 与 ESNI 的应用与挑战

网络安全技术：TLS 1.3 与 ESNI 的应用与挑战

1. 企业网络安全基础措施

对于因复杂性或成本问题无法在设备上部署证书的企业，可考虑采用 MAC 地址匿名化等更好的方式来保障用户隐私，而非 MAC 地址随机化。不过，基于 MAC 地址的过滤在非商业私人家庭网络中被认为是一种可接受的安全措施。首席信息安全官（CISO）有责任逐步淘汰基于 MAC 地址的过滤，转而使用证书提供的设备和机器身份新范式进行设备认证和授权。

以下是相关术语定义：
| 术语 | 定义 |
| ---- | ---- |
| ANQP | 访问网络查询协议，用于 Wi-Fi 热点服务的查询和响应，通常用于发现信标中未标识的网络信息 |
| MAC 地址 | 媒体访问控制地址，分配给每个网络接口的唯一标识符 |
| NAC | 网络访问控制，使用基于角色的控制执行策略，在用户和/或设备级认证完成之前，阻止端点、网络设备或计算资产访问有线和无线网络资源 |

2. Transport Layer Security 1.3 概述

2018 年 8 月，传输层安全协议（TLS）1.3 被互联网工程任务组（IETF）批准为标准（RFC 8446），它是企业传输数据安全范式的关键组成部分。与 TLS 1.2 相比，TLS 1.3 有显著增强和改进，也存在许多差异。

2.1 关键要点

TLS 1.3 仅使用完美前向保密（PFS）密码套件（DHE - RSA、ECDHE - RSA、ECDHE - ECDSA），静态 RSA 和 Diffie - Hellman 密码套件已被移除，所有基于公钥的密钥交换