TLS 1.3: ما الذي يتغيّر وكيف تتحقق منه

ما الذي تغيّر عن TLS 1.2

يقلّص TLS 1.3 المصافحة من رحلتين ذهابًا وإيابًا إلى واحدة، وإلى صفر عند استئناف الجلسة. يحذف تبادل مفاتيح RSA وDiffie-Hellman الساكن، فتصبح السرية الأمامية إلزامية بدل اختيارية. يتخلى كليًا عن حزم وضع CBC وRC4 وSHA-1 والضغط، ويشفّر مزيدًا من المصافحة — بما فيها الشهادة — كي يعرف الوسطاء أقل.

النتيجة العملية أن كل نقاط الضعف التاريخية تقريبًا التي كانت تتطلب إعدادًا حذرًا أصبحت مستحيلة. لا يمكنك التفاوض على حزمة ضعيفة بالخطأ في TLS 1.3، لأن البروتوكول لا يعرّف إلا حزم AEAD بتجزئات حديثة.

لماذا يهم التقدير

يشترط CertH وجود TLS 1.3 لـ A+ بغض النظر عن كل شيء آخر. موقع بشهادة مثالية وتشفير قوي وHSTS سيتوقف عند 95 وA بدونه. هذا السطر وحده هو السبب الأكثر شيوعًا لتوقّف موقع مُدار جيدًا عند A.

السبب الآخر هو المصافحة نفسها. على اتصال جوّال عالي التأخير، تعني رحلة واحدة موفّرة عشرات إلى مئات الأجزاء من الثانية في كل اتصال جديد — تأثير مباشر وقابل للقياس على السرعة المُدركة.

تفعيله

على nginx يعتمد دعم TLS 1.3 على إصدار OpenSSL الذي بُني به الملف التنفيذي. يلزم OpenSSL 1.1.1 أو أحدث؛ تحقق بـ nginx -V من سلسلة built with OpenSSL قبل أي تعديل.

على Apache يكفي SSLProtocol ما دام httpd مرتبطًا بـ OpenSSL حديث. على Cloudflare، TLS 1.3 مفتاح على مستوى المنطقة في SSL/TLS → Edge Certificates ومُفعّل افتراضيًا في معظم المناطق منذ 2021.

# nginx: does this binary even support TLS 1.3?
nginx -V 2>&1 | tr ' ' '\n' | grep -i openssl

# negotiate TLS 1.3 explicitly and print the protocol
openssl s_client -connect example.com:443 -tls1_3 -servername example.com </dev/null 2>/dev/null | grep -E "Protocol|Cipher"

المزالق التي لا يذكرها أحد

استئناف 0-RTT سريع لكنه قابل للإعادة: مهاجم يلتقط الرحلة الأولى يمكنه إعادة إرسالها. لا تسمح أبدًا بـ 0-RTT على نقاط نهاية تغيّر حالتها في الطلب الأول، مثل أي شيء يكتب.

بعض الوسائط المؤسسية ما زالت تتعطل مع TLS 1.3. إبقاء TLS 1.2 مُفعّلًا بجانبه هو الحل الوسط القياسي — تحافظ على التوافق وتحقق شرط A+ أيضًا، لأن المُقيّم يبحث عن عرض TLS 1.3 لا عن تعطيل TLS 1.2.

أخيرًا، CDN أو موازن تحميل يُنهي TLS يخفي الأصل تمامًا. تغيير الأصل دون تغيير الحافة لا يغيّر شيئًا يمكن لأي ماسح خارجي رؤيته.

FAQ