前言

TLS 1.3 在安全性上做了诸多改进，其中记录层填充（Record Padding）是防止流量分析攻击的重要机制。通过在加密记录中添加随机填充数据，可以隐藏真实数据的长度，使攻击者难以通过观察数据包大小推断通信内容。

本文详细介绍 TLS 1.3 记录填充的工作原理、实现方式以及配置方法。

什么是记录填充？

流量分析风险

在 TLS 加密通道中，虽然数据本身被加密，但数据包大小仍然可能被攻击者观察：

1
2
3
4
5
6

flowchart LR
    A[客户端发送请求] --> B[加密传输]
    B --> C[观察数据包大小]
    C --> D[推断请求内容]
    
    style D fill:#f96

例如：

  • 访问特定网页时，HTTP 响应大小相对固定
  • 每次登录请求的数据长度可反映用户名长度
  • 实时通信中，消息数量和频率可推断对话内容

记录填充的作用

TLS 1.3 记录填充在加密前向记录数据中添加额外字节，使输出数据包大小难以与原始内容关联：

1
2

原始记录：[20 字节真实数据]
填充后：  [20 字节真实数据 + 随机填充] → 加密 → 固定块大小（如 256 字节）

TLS 1.3 记录层结构

记录格式

TLS 1.3 记录包含以下字段：

1
2
3
4
5
6

+-------------------+-------------------+
| Header (5 bytes)  |  Encrypted Data   |
| - Type (1 byte)   |  (含 padding)     |
| - Version (2 byte)|
| - Length (2 byte) |
+-------------------+-------------------+

填充规则

根据 RFC 8446，TLS 1.3 记录填充遵循以下规则：

  1. 填充后长度：填充后的记录数据长度应该是 16 字节的倍数（块密码对齐）
  2. 填充内容：最后一个字节表示填充长度（0-255 字节），前面填充任意值
  3. 填充位置：填充数据附加在明文数据之后、加密操作之前
1
2
3
4
5

明文结构：
[真实数据 (n 字节)] [padding_length (1 字节)] [padding (0-255 字节)]

填充示例（目标 256 字节）：
[真实数据: 50 字节] [padding_length: 205] [padding: 205 字节] = 256 字节

OpenSSL 配置记录填充

检查 OpenSSL 版本

首先确认 OpenSSL 版本支持记录填充：

1
2

openssl version
openssl version -a | grep -E "OpenSSL|Library"

使用回调函数配置填充

OpenSSL 3.x 提供了 SSL_CTX_set_record_padding_callback 函数自定义填充逻辑：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

#include <openssl/ssl.h>
#include <openssl/err.h>

// 自定义填充回调函数
size_t custom_padding_callback(SSL *ssl, int type, size_t max_padding, void *userdata) {
    // 随机填充到指定大小
    // 返回要填充的字节数（不含 padding_length 字节）
    return (rand() % 16 + 1) * 16;  // 16-256 字节之间的 16 的倍数
}

int main() {
    SSL_CTX *ctx = SSL_CTX_new(TLS_method());
    
    // 设置填充回调
    SSL_CTX_set_record_padding_callback(ctx, custom_padding_callback);
    
    // ... 其他配置
}

使用固定块大小填充

OpenSSL 3.2+ 支持直接设置填充块大小：

1
2
3

// 设置固定填充到 256 字节块
SSL_CTX_set_split_send_fragment(ctx, 256);
SSL_CTX_set_max_send_fragment(ctx, 256);

命令行验证填充

使用 OpenSSL s_client 观察填充行为：

1
2
3
4
5

# 启动测试服务器
openssl s_server -cert server.crt -key server.key -www -port 4433

# 客户端连接并发送数据，观察记录大小
echo "GET / HTTP/1.1\r\nHost: localhost\r\n\r\n" | openssl s_client -connect localhost:4433 -debug 2>&1 | grep -E "write|read|length"

使用 s_server 查看记录层信息

1
2
3
4
5

# 启动服务器，显示记录层信息
openssl s_server -cert server.crt -key server.key -www -tlsextdebug -msg

# 客户端连接
openssl s_client -connect localhost:4433 </dev/null 2>&1 | head -50

输出示例：

1
2
3

>>> TLS 1.3 Record Layer: Handshake Protocol: Client Hello
>>> TLS 1.3 Record Layer: Handshake Protocol: Server Hello
>>> TLS 1.3 Record Layer: Application Data Protocol: http/1.1

Nginx 配置

Nginx 通过 OpenSSL 间接支持 TLS 记录填充。以下是配置建议：

启用 TLS 1.3

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

server {
    listen 443 ssl http2;
    server_name yourdomain.com;

    ssl_certificate /path/to/certificate.crt;
    ssl_certificate_key /path/to/private.key;

    # 启用 TLS 1.3
    ssl_protocols TLSv1.3;

    # 使用 OpenSSL 3.x 以支持高级填充功能
    # 需要编译时启用 OpenSSL 3.x
}

调整分片大小

Nginx 1.21+ 支持调整 TLS 记录分片：

1
2
3
4
5
6
7

server {
    # ...
    
    # TLS 记录分片配置（字节）
    # 这会影响填充行为
    ssl_buffer_size 4k;
}

注意事项

Nginx 目前不直接暴露记录填充回调配置。如果需要自定义填充逻辑，需要：

  1. 编译 Nginx 时链接 OpenSSL 3.x
  2. 使用 OpenResty 或 Nginx 模块扩展
  3. 在应用层实现填充

使用 Wireshark 分析填充

捕获 TLS 流量

1
2

# 使用 tcpdump 捕获 TLS 流量
tcpdump -i any -w tls_capture.pcap port 443

分析记录层

在 Wireshark 中分析 TLS 1.3 记录：

  1. 打开捕获文件
  2. 过滤 tls.record 或 tls
  3. 展开 TLS 1.3 Record Layer 节点
  4. 查看 Padding 字段（如存在）
1
2
3
4
5

TLS 1.3 Record Layer
    Content Type: Application Data (23)
    Version: TLS 1.3 (0x0303)
    Length: 256
    Padding: 205 bytes

对比填充前后

无填充（TLS 1.2）：

1
2
3
4

Record 1: 68 bytes  (HTTP GET)
Record 2: 1424 bytes (HTML response)
Record 3: 1424 bytes (HTML response)
Record 4: 517 bytes  (last chunk)

有填充（TLS 1.3）：

1
2
3
4

Record 1: 256 bytes  (HTTP GET + padding)
Record 2: 256 bytes  (HTML response + padding)
Record 3: 256 bytes  (HTML response + padding)
Record 4: 256 bytes  (HTML response + padding)

填充的安全考量

性能开销

填充量 带宽开销 CPU 开销
0-50 字节 低 极低
50-200 字节 中 低
200+ 字节 高 中

定时攻击

理想情况下，填充应该使用恒定时间添加，避免泄露信息：

1
2
3
4
5

// 不好：填充时间与数据相关
size_t pad = strlen(data) % 16;

// 好：固定填充时间
size_t pad = (16 - (strlen(data) + 1) % 16) % 16;

填充长度限制

RFC 8446 规定单条记录的最大填充为 256 字节。过大的填充会：

  • 增加延迟
  • 浪费带宽
  • 可能被识别为填充攻击

实际应用场景

1. 防止敏感操作识别

在金融应用中，操作类型可以通过请求大小推断：

1
2
3

普通查询：~200 字节
转账请求：~500 字节
密码修改：~300 字节

通过填充，这些差异被隐藏。

2. 隐私保护

Tor、Signal 等工具使用填充防止流量关联：

  • 固定时间间隔发送数据
  • 填充到固定块大小
  • 使流量分析失效

3. 规避审查

在网络审查严格的环境，TLS 流量特征可能触发阻断。填充可以：

  • 改变流量特征
  • 模拟正常 HTTPS 流量
  • 降低被识别概率

常见问题

填充会导致性能下降吗？

轻微。填充增加了数据量（通常 < 5%），但减少了元数据泄露风险。在大多数场景下，性能影响可忽略。

所有 TLS 版本都支持填充吗？

  • TLS 1.3：原生支持记录填充
  • TLS 1.2 及更早版本：需使用 padding 扩展或应用层填充

如何验证填充是否生效？

  1. 使用 Wireshark 抓包检查记录大小
  2. 观察多条记录是否大小一致
  3. 检查记录层是否有 Padding 字段

小结

TLS 1.3 记录填充是防止流量分析的重要机制：

  • 原理：填充数据到固定块大小，隐藏真实数据长度
  • 实现：在加密前添加随机填充字节
  • 配置：OpenSSL 3.x 支持回调函数自定义填充
  • 验证：使用 Wireshark 分析记录层

合理使用记录填充可以有效防止以下攻击：

  • 请求/响应大小推断
  • 通信模式分析
  • 敏感操作识别

参考来源