TLS 1.3 握手完全解析：从 ClientHello 到 Finished

TLS 是当今互联网的安全基石，从浏览器访问、API 调用到 IoT 设备通信，几乎全部依赖它。从 SSL 3.0 到 TLS 1.0、1.1、1.2，再到 2018 年标准化的 TLS 1.3，协议越来越简洁、更快、更安全。本文从 TLS 历史讲起，逐字段解析 TLS 1.3 握手过程，再讨论 SNI、ALPN、会话恢复、OCSP Stapling 与 2026 年的后量子密码部署，让你对每一次 https:// 背后发生了什么了如指掌。

1. TLS 历史：从 SSL 到 1.3

SSL 由 Netscape 在 1995 年提出，2.0 与 3.0 都存在严重漏洞，已在 2011 年与 2015 年被废弃。TLS 1.0（1999）与 1.1（2006）是 SSL 3.0 的小修补，但仍受 BEAST、POODLE 等历史攻击影响，浏览器从 2020 年起全面停用。TLS 1.2（2008）引入 AEAD 算法（GCM、ChaCha20-Poly1305）、椭圆曲线密钥交换、SHA-256，是过去十年的事实标准。

TLS 1.3 在 2018 年标准化为 RFC 8446，是一次彻底重写。它移除了所有不安全的算法（RSA 密钥交换、CBC 模式、SHA-1、压缩等），握手从 2-RTT 缩到 1-RTT 并支持 0-RTT，重新定义密钥派生（HKDF）与扩展机制。2026 年，主流浏览器、CDN、云服务的 TLS 1.3 部署率已超过 85%。

简而言之：TLS 1.3 不只是版本升级，而是更安全、更快、更可演进的协议。本文剩余内容默认讨论 TLS 1.3。

2. 握手全景：1-RTT 与 0-RTT

TLS 1.3 完整 1-RTT 握手包含两段消息流：客户端先发 ClientHello（携带支持的密码套件、密钥共享、扩展），服务器收到后立刻回复 ServerHello + EncryptedExtensions + Certificate + CertificateVerify + Finished，所有后续消息都已加密。客户端验证证书与 Finished 后回复自己的 Finished，握手结束，应用数据开始流动。

0-RTT 模式让回访客户端直接在 ClientHello 携带早期数据，服务器可以立即处理，但仅限幂等请求且对重放敏感。后量子密钥封装、ECH 扩展、Session Ticket、PSK 都通过扩展机制接入，不破坏既有结构。

所以 TLS 1.3 的核心就是 1-RTT，理解 ClientHello、ServerHello、Certificate、Finished 这几个消息，握手知识就掌握了 80%。

3. ClientHello：第一发现

ClientHello 是浏览器发出的第一个 TLS 消息，包含若干关键字段：random（32 字节随机数防重放）、legacy_session_id（兼容老服务器，1.3 中作为版本标记）、cipher_suites（支持的密码套件按偏好排序）、extensions（携带额外信息）。

重要扩展包括：supported_versions 表明客户端支持的 TLS 版本（1.3 必填）、key_share 携带客户端的临时密钥（DH 公钥）以便服务端 1-RTT 派生密钥、server_name 携带 SNI 让服务器知道访问哪个站点、application_layer_protocol_negotiation（ALPN）协商上层协议（h2、h3）、signature_algorithms 列出可接受的签名算法。

实际抓包能看到 ClientHello 通常 500-1500 字节。Wireshark 解码 ClientHello 是排查 TLS 问题最常用的步骤，可以配合 JSON 格式化工具整理捕获的报告。

4. ServerHello、密钥交换与证书验证

服务器收到 ClientHello 后，从客户端的 cipher_suites 中选一个、从 key_share 中选一个曲线，回复 ServerHello（带服务器自己的 random 和 key_share）。此时双方就有了共享密钥（HKDF 派生），后续所有消息都已加密，包括服务器证书。

加密之后的第一组消息是 EncryptedExtensions（包含 ALPN 等协商结果）、Certificate（X.509 证书链）、CertificateVerify（服务器对前面消息的签名，证明自己掌握私钥）、Finished（完整性校验）。客户端按链验证证书：从叶子证书向上每一级都用上级 CA 的公钥校验签名，最终回到操作系统或浏览器内置的根证书。

证书验证不通过的常见原因：证书过期、域名不匹配、链不完整、签名算法被废弃、根证书不被信任、中间证书未配置。生产部署强烈建议用 Let's Encrypt 或商业 CA 自动续期，并启用 CAA 记录限制只允许特定 CA 签发。

5. SNI、ALPN 与扩展生态

SNI（Server Name Indication）让一个 IP 上托管多个 HTTPS 站点。客户端在 ClientHello 明文带上 host，服务器据此选择对应证书。它解决了 IPv4 紧缺时代的痛点，但 SNI 明文也让运营商、GFW 能看到访问域名。

ECH（Encrypted Client Hello）是 SNI 的加密升级。客户端先用通过 DNS HTTPS 记录拿到的服务器公钥加密真实 SNI，外部观察者只看到一个伪装的"public name"。Cloudflare、Firefox、Chrome、Safari 都已支持，2026 年使用率快速上升，是隐私防护的下一个里程碑。

ALPN（Application-Layer Protocol Negotiation）让 TLS 之上协商具体应用协议（h2、h3、http/1.1）。一次握手即可决定上层走哪种协议，免去多次试探。配合 curl 命令生成器加 --alpn http/2 可以快速验证服务器是否正确支持。

6. 会话恢复：Session Ticket 与 PSK

TLS 1.3 把会话恢复机制统一到 PSK（Pre-Shared Key）框架。完成一次完整握手后，服务器可以发 NewSessionTicket，客户端缓存这张票据。下次连接同一服务器，客户端在 ClientHello 携带 PSK 标识 + 早期数据，服务器认可即可走 1-RTT 甚至 0-RTT 握手。

Session Ticket 由服务器自己加密签发，无需中央存储，扩展性好。但要注意密钥轮换：如果 ticket 加密密钥泄露，攻击者就能解密历史流量。生产环境应配置自动定期轮换 ticket key，间隔几小时到一天，密钥长度至少 32 字节。

0-RTT 数据虽然方便，但容易被重放。规范要求服务器对非幂等请求（POST 写入）拒绝 0-RTT 或降级。多数 CDN 已默认实现，应用层只需保证写操作有幂等键即可。

7. OCSP Stapling 与证书状态

证书可能在过期前被撤销（私钥泄露、密钥轮换、CA 决定吊销）。早期方案 CRL 与 OCSP 都让客户端查询 CA：CRL 文件巨大、缓存难刷新；OCSP 暴露用户访问域名给 CA 且增加握手延迟。

OCSP Stapling 把这个事情挪到服务器：服务器自己定期问 CA 拿到带签名的状态响应（status_request 扩展返回），握手时附在 Certificate 后面发给客户端。客户端不需联系 CA，验证速度快、隐私好。

Must-Staple 扩展进一步规定：如果服务器证书声明了 Must-Staple，那么没附 OCSP 响应的握手必须被客户端拒绝。这样攻击者无法通过阻塞 OCSP 让客户端忽略撤销状态。配置要点：保证 OCSP 拉取脚本稳定、监控证书与 OCSP 过期时间、在多源策略下用同步任务而不是单点。

8. 后量子密码与 2026 部署现状

量子计算机一旦实用化，可破解今天所有基于离散对数和 RSA 的加密。NIST 已在 2024 年标准化 ML-KEM（基于格的密钥封装，前身 Kyber）和 ML-DSA（数字签名，前身 Dilithium）。TLS 1.3 通过混合组合（X25519+ML-KEM-768）让握手同时具备经典安全与抗量子能力。

实际部署：Cloudflare 自 2024 年起全网开启 X25519MLKEM768；Google Chrome 在 2024 年默认开启；AWS、Akamai、Microsoft 在 2025 年陆续跟进。2026 年可以认为公网中后量子混合密钥交换覆盖率突破 50%，关键金融、医疗、政府服务应优先部署。

现实中要注意：后量子算法消息体大（ML-KEM 公钥约 1.2KB，签名上千字节），可能让 ClientHello 跨越 IP 包阈值触发分片。需要配合 TCP MSS、QUIC initial packet 限制做兼容性测试。多家 CDN 都已自动处理，但自建 TLS 终结服务要主动评估。

常见问题

TLS 1.3 比 TLS 1.2 快在哪里？

TLS 1.2 完整握手要 2 个 RTT，TLS 1.3 只要 1 个 RTT，并且支持 0-RTT 重连。原因有三：握手消息合并、移除老旧密钥交换算法（RSA 静态、DH 静态等）、ClientHello 直接发送共享密钥猜测，服务器同意即可立刻派生会话密钥。整体握手开销下降一半以上。

为什么 TLS 1.3 移除了 RSA 密钥交换？

RSA 静态密钥交换没有前向保密：一旦服务器私钥泄露，过去所有抓到的流量都能被解密。TLS 1.3 强制使用 (EC)DHE，每次握手都生成临时密钥对，私钥泄露也无法回溯解密历史流量。安全性显著提升，性能略有下降但被并行优化抵消。

SNI 与 ESNI/ECH 是什么关系？

SNI 让一个 IP 上托管多个 HTTPS 站点，但 SNI 在 TLS 1.2 与 1.3 默认仍是明文，运营商或 GFW 能看到你访问的域名。ECH（Encrypted Client Hello，ESNI 的演进版）把 SNI 与其他敏感扩展加密，避免被探测。Cloudflare 已于 2024 年起全网开启 ECH，浏览器逐步默认开启。

OCSP Stapling 解决了什么？

原始 OCSP 让客户端直接联系 CA 验证证书是否吊销，引发隐私泄露与延迟。OCSP Stapling 让服务器自己定期向 CA 取得带签名的状态响应，握手时附带给客户端，验证不需要额外网络请求。Must-Staple 扩展进一步要求客户端拒绝没附带 OCSP 响应的连接，强化安全。

后量子密码 2026 年准备好了吗？

NIST 已经标准化 ML-KEM（Kyber）作为后量子密钥封装算法。Cloudflare、Google、AWS 在 2024-2025 年陆续开启混合后量子密钥交换（X25519+ML-KEM-768）。Chrome、Edge、Firefox 默认启用，主流 CDN 自动协商。2026 年可以视为后量子过渡正式启动期，关键基础设施应优先部署混合算法。