TLS 1.3 引入了 0-RTT（Zero Round Trip Time）早期数据机制，可以在一个 RTT 内完成握手，大幅降低连接延迟。然而，这一特性带来了安全隐患：0-RTT 数据可能遭受重放攻击。本文详解攻击原理与防护措施。

0-RTT 快速回顾

TLS 1.3 的 0-RTT 模式允许客户端在首次握手时立即发送加密数据，无需等待服务器完成握手。典型场景：

1
2
3
4
5
6
7

客户端                                         服务器
  |                                              |
  |-------- ClientHello (+ EarlyData) --------->|
  |                   (立即发送加密数据)         |
  |                                              |
  |<-------- ServerHello + Finished ------------|
  |                   (握手完成)                 |

适用场景：需要快速建立连接的 HTTP/2 预热、频繁断连的移动应用等。

重放攻击原理

攻击场景

0-RTT 数据的核心风险在于缺乏前向安全性和可能重放：

  1. 客户端首次请求（包含敏感操作，如转账）
  2. 攻击者嗅探并记录这个加密的 0-RTT 数据包
  3. 攻击者重放这个数据包到服务器
  4. 服务器误认为是有效请求，重复执行

攻击条件

重放攻击需要满足以下条件：

  • 0-RTT 数据包被攻击者截获
  • 服务器未对 0-RTT 数据添加足够的时间限制
  • 某些敏感操作（如只读操作）被重复执行不会造成危害

实际影响

典型的可重放场景：

操作类型 重放风险
GET 请求（幂等） 低风险
POST 表单提交 中等风险
支付/转账 高风险
状态变更操作 高风险

攻击演示

以下演示如何在 OpenSSL 中观察 0-RTT 数据传输：

1
2
3
4
5
6
7

# 查看支持的 TLS 1.3 密码套件
openssl ciphers -v -s -tls1_3

# 输出示例：
# TLS_AES_256_GCM_SHA384         TLSv1.3 Kx=any      Au=any   Enc=AESGCM(256)            Mac=AEAD
# TLS_CHACHA20_POLY1305_SHA256   TLSv1.3 Kx=any      Au=any   Enc=CHACHA20/POLY1305(256) Mac=AEAD
# TLS_AES_128_GCM_SHA256         TLSv1.3 Kx=any      Au=any   Enc=AESGCM(128)            Mac=AEAD

1
2
3
4
5
6
7
8

# 使用 s_client 模拟 0-RTT 数据发送
openssl s_client -connect example.com:443 \
    -tls1_3 \
    -early_data /tmp/early_data.txt \
    </dev/null

# /tmp/early_data.txt 包含要发送的早期数据
# 注意：如果服务器不支持 0-RTT，会忽略此数据

防护措施

1. 服务器端配置

Nginx 配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_protocols TLSv1.3;
    ssl_prefer_server_ciphers on;

    # 禁用 0-RTT（敏感操作推荐）
    ssl_early_data off;

    # 或限制 0-RTT 使用场景
    # 仅对特定路径启用
    location /api/public/ {
        ssl_early_data on;
    }
    location /api/private/ {
        ssl_early_data off;
    }
}

Apache 配置

1
2
3
4
5
6
7
8

<VirtualHost *:443>
    ServerName example.com
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.2
    SSLSessionTickets off
    
    # 禁用 0-RTT
    SSLOpenSSLConfCmd Options -EarlyData
</VirtualHost>

2. 应用层防护

即使启用 0-RTT，应用层也应采取防护：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

# Python 示例：使用时间戳或随机数防护
import time
import secrets

def create_early_data_request(data):
    """为早期数据添加时间戳，防止重放"""
    timestamp = int(time.time())
    nonce = secrets.token_hex(16)
    
    payload = f"{timestamp}:{nonce}:{data}"
    return payload.encode()

def verify_early_data(payload):
    """验证时间戳 freshness"""
    timestamp = int(payload.split(b':')[0])
    current = int(time.time())
    
    # 允许 30 秒内的请求
    if abs(current - timestamp) > 30:
        return False
    return True

3. 密钥派生强化

TLS 1.3 通过 HKDF 派生 0-RTT 密钥，但服务器可进一步加固：

  • 减少 0-RTT 密钥的生命周期
  • 在应用层添加额外的密钥派生
  • 使用应用层握手后续的密钥再次加密敏感数据

配置决策矩阵

场景 建议 原因
金融/支付系统 禁用 0-RTT 避免重放导致资金风险
API 网关 按路径配置 公共只读接口可启用
移动应用 启用 + 应用层防护 权衡性能与安全
CDN 边缘节点 谨慎启用 考虑客户端缓存场景

验证配置

检查服务器 0-RTT 配置是否生效：

1
2
3
4
5
6
7
8

# 使用 testssl 检查 0-RTT 支持
testssl --extension=early_data https://example.com

# 使用 openssl s_client 观察
openssl s_client -connect example.com:443 \
    -tls1_3 \
    -early_data /tmp/test.txt \
    2>&1 | grep -i "early"

总结

TLS 1.3 的 0-RTT 特性显著提升了连接性能，但开发者必须理解其安全风险：

  • 重放攻击是核心威胁：攻击者可以重放截获的 0-RTT 数据包
  • 敏感操作禁用：支付、状态变更等场景应关闭 0-RTT
  • 应用层防护：即使启用 0-RTT，也应在应用层添加时间戳或一次性随机数

性能与安全需要权衡，根据业务场景选择合适的配置。

参考来源