25、安全TLS配置的辅助部署

安全TLS配置的辅助部署

1. 背景知识

TLS（传输层安全）套件由两个主要协议组成：
- 握手协议 ：允许双方交换建立可靠会话所需的所有信息。根据配置，握手可以提供双向或单向认证（通常是单向的，即只有服务器提供证书）。该协议支持两种特殊消息：Change Cipher Spec（表示会话过渡到不同的加密策略）和Alert（传播潜在的警报消息）。
- 记录协议 ：封装要传输的消息以确保其安全性。记录协议包括以下步骤：
1. 将数据流分割成块；
2. 压缩这些块；
3. 使用握手期间商定的算法生成消息认证码（MAC）；
4. 使用握手期间选择的密码对有效负载进行加密；
5. 添加报头以使数据包能够传输。

多年来，TLS 发布了四个版本：1999 年发布的 v1.0、2006 年发布的 v1.1、2008 年发布的 v1.2 和 2018 年 8 月发布的 v1.3。下面详细介绍应用最广泛的 v1.2 和为缓解早期版本已知漏洞而引入了一系列更改的 v1.3。

1.1 TLS 1.2

根据 Qualys 的 3 月月度扫描，TLS 1.2 是目前支持最广泛的协议，覆盖率达 94.8%。完整握手的每个消息如下：
- Client Hello ：客户端可以随时通过向服务器发送 Client Hello 消息来启动握手。该消息包含：
1. 客户端希望使用的协议版本（应为可用的最高版本）；
2. 通过连接时间戳（UNIX 时间中的 32 位）和随机生成的随机数