TLS 1.3 и постквантовая криптография

TLS — самый распространённый криптографический протокол в мире, и его последняя версия собрана как ответ на все атаки предыдущих десятилетий: только AEAD, только эфемерный обмен ключами, подпись параметров рукопожатия, вывод ключей через HKDF, строгая валидация. Одновременно на горизонте появилась угроза другого масштаба: квантовый компьютер, для которого задача факторизации и дискретного логарифма перестают быть трудными.

Тема завершает курс и собирает всё вместе. Сначала рукопожатие TLS 1.3: обмен ключами, аутентификация, вывод ключей, защита от понижения версии. Потом 0-RTT и его цена — повтор запросов. Затем постквантовые схемы: почему RSA и ECC уязвимы к алгоритму Шора, как устроен ML-KEM, зачем гибридные конструкции и что такое «сохранить сейчас — расшифровать потом». Завершается практикум: аудит учебного модуля, в котором намеренно собраны ошибки из всех предыдущих тем.

Рукопожатие TLS 1.3

Обмен и аутентификация

Клиент отправляет ClientHello с поддерживаемыми шифрами, группами и расширением key_share — своим эфемерным открытым ключом. Сервер отвечает ServerHello, своим key_share, сертификатом и подписью по транскрипту рукопожатия. Обе стороны вычисляют общий секрет Z = ECDH(...), выводят ключи через HKDF и переходят к защищённому обмену ¹.

Подпись охватывает весь транскрипт, включая параметры обмена: так аутентифицируется не только сертификат, но и сам обмен. Пошаговые примеры рукопожатия с реальными байтами собраны в RFC 8448 ². Это закрывает атаки, где противник подменяет группу или точку.

Только AEAD и только эфемерность

В TLS 1.3 убраны статические RSA-обмены (они не давали прямой секретности), CBC-шифры (оракулы) и RC4. Остались AEAD с эфемерным (EC)DHE: каждый сеанс имеет свои ключи, утечка долгоживущего ключа не раскрывает прошлое ¹.

Защита от понижения версии: клиент присылает набор поддерживаемых версий и отдельное случайное значение, сервер подписывает транскрипт; попытка «откатить» протокол обнаруживается. Схема на рисунке 1.

Режимы установления ключа

Формулировка «в TLS 1.3 остался только эфемерный (EC)DHE» — упрощение. RFC 8446 описывает несколько режимов: полное рукопожатие с (EC)DHE и аутентификацией сертификатом, рукопожатие с PSK (в том числе PSK-only, без обмена эфемерными ключами) и комбинированный режим PSK + (EC)DHE. Прямая секретность есть только там, где присутствует эфемерный DH: в PSK-only режиме компрометация долговременного PSK раскрывает и записанные сессии. Поэтому PSK-only применяется в ограниченных сценариях — возобновление сессии, встроенные устройства с предварительно разделённым секретом, — а не как общий случай. При возобновлении с PSK + (EC)DHE свежий эфемерный обмен восстанавливает прямую секретность даже при утечке тикета.

Вывод ключей

Из общего секрета через HKDF выводятся ключи для разных направлений и целей: client_handshake, server_handshake, client_application, server_application, плюс ключи для экспорта и обновления. Разделение по назначению — защита от переиспользования ключей, разобранного в апокрифах 4–6.

0-RTT и повтор запросов

Что даёт 0-RTT

Клиент, уже имеющий сессионный тикет, может отправить данные в первом же сообщении, не дожидаясь ответа сервера: это ускоряет повторные соединения. Ключи 0-RTT выводятся из раннего секрета, связанного с тикетом.

Цена

Данные 0-RTT не защищены от повтора: противник может записать запрос и отправить его снова. Для идемпотентных GET это приемлемо, для POST-запросов с эффектом — нет. Поэтому в TLS 1.3 0-RTT помечен как опция с явным предупреждением, а сервер обязан ограничивать эффекты ³.

Защита на уровне приложения: одноразовые токены, идемпотентные ключи, отказ от 0-RTT для изменяющих операций. Протокол не может решить это за приложение, и это классическая граница «криптография заканчивается там, где начинается семантика».

Квантовая угроза

Алгоритм Шора

Алгоритм Шора решает задачи факторизации и дискретного логарифма за полиномиальное время на квантовом компьютере ⁴. Это означает, что RSA, DH, ECDH и ECDSA в текущем виде перестают быть стойкими, если такой компьютер появится в достаточном масштабе. Симметричные примитивы страдают меньше: стойкость AES-256 и SHA-256 снижается вдвое (алгоритм Гровера), что приемлемо.

«Сохранить сейчас — расшифровать потом»

Данные, перехваченные сегодня, могут быть расшифрованы, когда появится квантовый компьютер. Для долгоживущих секретов (медицинские записи, государственные тайны) это уже сегодняшняя проблема, а не будущая ⁸. Отсюда миграция начинается раньше, чем угроза станет реальной.

Постквантовые схемы

ML-KEM

ML-KEM (бывший Kyber) — схема инкапсуляции ключей на решётках, стандартизована в FIPS 203 ⁵. Она построена не на «LWE с ошибкой» напрямую, а из двух слоёв. Первый — K-PKE, схема шифрования с открытым ключом над Module-LWE: модуль Z_q с q = 3329, векторы и матрицы многочленов степени 255, ошибки из центрированного биномиального распределения. Второй — преобразование Фудзисаки — Окамото (FO), которое превращает IND-CPA-схему в IND-CCA KEM: секрет инкапсуляции не передаётся, а выводится из общего с обеих сторон значения и хеша шифртекста, а при расшифровании шифртекст заново шифруется и сверяется с полученным. Именно FO-слой отвечает за стойкость против активного противника и за неявное подтверждение ключа; без него K-PKE остаётся только IND-CPA.

Параметры заданы тремя наборами — ML-KEM-512, -768, -1024, различающимися рангом модуля (2, 3, 4) и, соответственно, размерами ключей и шифртекста. Секрет и шифртекст дополнительно сжимаются, что экономит байты ценой управляемой вероятности ошибки. Противник не может восстановить секрет, не решив задачу о кратчайшем векторе в решётке ⁶.

Лекционная модель LWE в работе показывает идею: b = A·s + e, где e — малая ошибка; без ошибки секрет восстанавливается линейной алгеброй, с ошибкой — нет. Это верно как интуиция для K-PKE, но полная схема включает ещё и FO-преобразование, и именно оно делает её KEM.

Гибридные конструкции

Переход делается гибридами: X25519 вместе с ML-KEM. Общий секрет — комбинация обоих, обычно через KDF от конкатенации. Утверждение «стойкость сохраняется, если стойка хотя бы одна схема» верно не автоматически, а при корректном комбинаторе: секреты обеих схем должны смешиваться так, чтобы знание одного из них не позволяло вычислить итоговый ключ, и чтобы обе стороны использовали один и тот же контекст. Классический контрпример — конкатенация, из которой итоговый ключ берётся как KDF(secret_1), игнорируя secret_2: тогда вся конструкция не сильнее первой схемы. Именно поэтому в TLS 1.3 гибрид описан вместе с определённой схемой вывода (HKDF-Extract по общему значению, в которое входят оба секрета и транскрипт) ⁷.

Схема на рисунке 2.

Одноразовые подписи и деревья

Lamport-подпись в работе показывает базовую идею постквантовой подписи: одноразовый ключ, хеши, стойкость только к одной подписи. Дерево Меркле (апокриф 7) позволяет использовать много одноразовых ключей с одним корнем — так устроены hash-based подписи (SPHINCS+). Цена — размер подписи и ограничение числа подписей.

Итоги темы

• TLS 1.3: только AEAD, подпись транскрипта, HKDF, защита от понижения версии; прямая секретность — при эфемерном DH, PSK-only режим её не даёт.
• 0-RTT ускоряет соединение и допускает повтор запросов; приложение обязано ограничивать эффекты.
• Шор ломает RSA/DH/ECC; симметрика страдает вдвое.
• ML-KEM — это K-PKE на Module-LWE плюс преобразование Фудзисаки — Окамото, а не «LWE с ошибкой» в чистом виде; подписи ML-DSA и SLH-DSA разобраны в теме 16 основного курса.
• Переход идёт через гибриды; их стойкость зависит от корректного комбинирования секретов, а не только от стойкости компонентов.
• «Сохранить сейчас — расшифровать потом» делает миграцию срочной.

Литература

1. RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3. 2018. — рукопожатие, вывод ключей, требования.
2. RFC 8448: Example Handshake Traces for TLS 1.3. 2018. — пошаговые примеры для отладки.
3. Fischlin M., Günther F. Replay Attacks on Zero Round-Trip Time: The Case of the TLS 1.3 Handshake Candidates. IEEE EuroS&P 2017. — анализ 0-RTT.
4. Shor P. Algorithms for Quantum Computation: Discrete Logarithms and Factoring. FOCS 1994. — квантовая угроза.
5. NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. 2024. — ML-KEM.
6. NIST. Post-Quantum Cryptography Standardization. — процесс отбора и обоснование схем.
7. Connolly K. et al. Hybrid Post-Quantum Key Encapsulation Methods (PQ KEM) for TLS. IETF draft. — гибридные обмены.
8. Mosca M. Cybersecurity in an Era with Quantum Computers: Will We Be Ready? 2018. — «сохранить сейчас — расшифровать потом».

Дополнительные материалы к апокрифу 14

Вопросы для самопроверки

1. Чем TLS 1.3 отличается от 1.2 по составу шифров?
2. Что входит в транскрипт рукопожатия?
3. Зачем нужен key_share в ClientHello?
4. Как обнаруживается понижение версии?
5. Почему 0-RTT уязвим к повтору?
6. Какие операции допустимы в 0-RTT?
7. Что ломает алгоритм Шора и что — Гровера?
8. Почему AES-256 считается постквантово стойким?
9. Что такое LWE и почему ошибка важна?
10. Чем инкапсуляция ключей отличается от шифрования?
11. Зачем гибрид X25519 + ML-KEM?
12. Как Lamport-подпись использует хеш?
13. Почему hash-based подписи одноразовые и как это обходят?
14. Что такое store-now-decrypt-later?
15. Какие ошибки из предыдущих тем чаще всего встречаются в реальном коде?

Глоссарий темы

Шпаргалка

openssl s_client -connect example.com:443 -tls1_3 -msg
cp lamport_template.py lamport.py && python3 check_lamport.py
python3 check_lwe.py

Что почитать и посмотреть

• RFC 8446 — TLS 1.3.
• RFC 8448 — примеры рукопожатий.
• FIPS 203 — ML-KEM.
• FIPS 204/205 — ML-DSA и SLH-DSA.
• Shor 1994 — квантовый алгоритм.
• Mosca 2018 — экономика перехода.
• Fischlin, Günther 2017 — 0-RTT и повторы.
• Документация ssl в Python — https://docs.python.org/3/library/ssl.html.

Углубление: почему TLS 1.3 — «сборка» курса

В одном рукопожатии собраны почти все темы: эфемерный обмен (апокриф 11), подпись транскрипта и PKI (12), AEAD (6), вывод ключей (8), защита от повторов (4), константные реализации (13). Протокол спроектирован так, чтобы каждая ошибка предыдущих версий была закрыта конструктивно, а не заплаткой.

Именно поэтому разбор TLS 1.3 — хороший экзамен: если студент видит, зачем нужен каждый элемент, он понимает не «список шифров», а логику проектирования.

Углубление: почему гибриды, а не сразу PQC

Постквантовые схемы моложе классических: у них меньше анализа, больше простора для ошибок реализации, другие размеры ключей и подписей. Гибрид даёт стойкость при условии, что стойка хотя бы одна схема: если ML-KEM окажется слабее ожидаемого, X25519 продолжит защищать; если появится квантовый компьютер, защитит ML-KEM.

Цена — размеры: ключи и ciphertext'ы ML-KEM заметно больше, чем у X25519, и это влияет на рукопожатие и на MTU. Поэтому миграция идёт постепенно, с измерениями и профилированием, а не одним переключением.

Лабораторная работа 14. Протокол целиком

• Раздел курса: апокриф 14 «TLS 1.3, 0-RTT и постквантовая криптография»

Введение

«Сейф» переходит на TLS 1.3 и планирует постквантовую миграцию. Задача этой работы — собрать весь курс в один разбор: посмотреть на реальное рукопожатие, найти в нём решения из предыдущих тем, проверить, что произойдёт при повторе 0-RTT, собрать постквантовый обмен из учебных примитивов и провести аудит модуля, в котором намеренно собраны ошибки всех пройденных апокрифов.

Работа завершает курс. Она не вводит новых примитивов, а проверяет, умеет ли студент видеть протокол как систему: где обмен ключами, где аутентификация, где AEAD, где вывод ключей, где границы ответственности приложения.

Части: рукопожатие, 0-RTT, LWE и ML-KEM, Lamport и деревья, аудит модуля.

Цель работы

Научиться разбирать реальный протокол на составляющие и находить в нём как решения предыдущих тем, так и остаточные риски.

После выполнения работы получится:

• разбирать рукопожатие TLS 1.3 по сообщениям и ключам;
• объяснять, что защищает подпись транскрипта и как работает защита от понижения версии;
• показывать риск повтора 0-RTT и формулировать ограничения для приложения;
• собирать учебный LWE-обмен и объяснять, почему ошибка делает задачу трудной;
• реализовывать Lamport-подпись и объяснять её ограничения;
• проводить аудит кода и классифицировать найденные ошибки.

Теоретический минимум

Разделы «Рукопожатие TLS 1.3», «0-RTT и повтор запросов», «Квантовая угроза», «Постквантовые схемы» апокрифа 14. Опорные соотношения:

Z = ECDH(клиент, сервер)
key = HKDF(early_secret, …) — по назначению и направлению
0-RTT: данные можно повторить
LWE: b = A·s + e, e — малая ошибка
Lamport: подпись раскрывает половину секретных значений

Перечень оснащения

Ubuntu 24.04, Python 3.10+, cryptography, OpenSSL 3.0. Права root не нужны. Архив lr-env.

mkdir -p ~/lab-apocrypha-14 && cd ~/lab-apocrypha-14
unzip ~/lr-env.zip
cp lamport_template.py lamport.py
python3 check_lamport.py
python3 check_lwe.py

Порядок выполнения работы

В журнале фиксируйте: сообщения рукопожатия и соответствующие ключи, число повторов 0-RTT, найденные ошибки аудита с классификацией. Провал — с причиной.

Часть 1. Рукопожатие TLS 1.3

Задание

1. Запустите openssl s_client -connect example.com:443 -tls1_3 -msg и сохраните вывод.
2. Разметьте сообщения: ClientHello, ServerHello, EncryptedExtensions, Certificate, CertificateVerify, Finished. Найдите key_share и подпись.
3. Для каждого ключа укажите, из какого секрета он выведен и для чего используется.
4. Ответьте: почему в TLS 1.3 нет статического RSA-обмена и что это даёт.
5. Объясните, как обнаруживается попытка понижения версии.

Часть 2. 0-RTT и повтор

Задание

1. Разберите, какие данные можно отправлять в 0-RTT и почему.
2. Соберите учебный сервер, принимающий POST в 0-RTT, и покажите, что повтор запроса создаёт второй эффект.
3. Добавьте одноразовый токен и покажите, что повтор отвергается.
4. Сформулируйте политику: какие методы и операции допустимы в 0-RTT.
5. Ответьте: почему протокол не может решить эту проблему за приложение.

Часть 3. LWE и ML-KEM

Задание

1. Изучите lamport_template.py: lwe_keygen, lwe_encrypt, lwe_decrypt, recover_secret_noiseless.
2. Покажите, что без ошибки секрет восстанавливается линейной алгеброй, а с ошибкой — нет.
3. Оцените, как размерность и величина ошибки влияют на стойкость.
4. Запустите python3 check_lwe.py.
5. Ответьте: почему ML-KEM использует и открытый ключ, и ciphertext фиксированного размера, и что даёт инкапсуляция по сравнению с «просто шифрованием».

Часть 4. Lamport и деревья

Задание

1. Реализуйте keygen, sign, verify.
2. Покажите, что повторное использование ключа раскрывает половину секретных значений и позволяет подделать подпись.
3. Реализуйте merkle_root, merkle_proof, merkle_verify для набора открытых ключей.
4. Запустите python3 check_lamport.py.
5. Ответьте: какие ограничения у hash-based подписей и почему они всё равно применяются.

Часть 5. Аудит модуля

Задание

1. Прочитайте vulnerable/seif_audit.py и найдите не менее восьми ошибок.
2. Для каждой заполните таблицу в audit_notes.md: строка, CWE, что ломается, как исправить.
3. Сгруппируйте ошибки по темам курса: генератор, режим, AEAD, хеш, пароль, RSA/ECC, PKI, сторонние каналы.
4. Предложите минимальный набор исправлений, закрывающих максимальное число ошибок.
5. Ответьте: какая из найденных ошибок опаснее всего и почему.

Журнал работы

Фиксируйте: разметку рукопожатия, число повторов в 0-RTT, таблицу аудита, список исправлений. Провал — с причиной.

Контрольные вопросы

1. Какие сообщения входят в рукопожатие TLS 1.3?
2. Что подписывает сервер и зачем нужен транскрипт?
3. Почему в TLS 1.3 только AEAD?
4. Как выводятся ключи и зачем разделять их по назначению?
5. Чем опасен 0-RTT и что должен сделать сервер?
6. Что ломает алгоритм Шора?
7. Почему симметричные примитивы страдают меньше?
8. Что такое «сохранить сейчас — расшифровать потом»?
9. Как устроен ML-KEM в общих чертах?
10. Зачем нужны гибридные обмены?
11. Как работает Lamport-подпись и почему она одноразовая?
12. Что даёт дерево Меркле для одноразовых ключей?