TLS-рукостискання

TLS-рукостискання — це фаза налаштування кожного HTTPS-з'єднання. У ній клієнт і сервер узгоджують версію протоколу та шифр, сервер підтверджує свою автентичність, зазвичай за допомогою сертифіката, і обидва встановлюють спільні ключі, які шифруватимуть решту сесії — в ідеалі з досконалою прямою секретністю, щоб ці ключі були ефемерними. TLS 1.3 спростив процес до одного циклу обміну. Під час відновлення сесії TLS 1.3 необов’язкові ранні дані (0-RTT) можуть надсилатися до завершення рукостискання. Вони мають слабший захист від повторного відтворення, тому їх слід обмежувати запитами, які можна безпечно повторити.

Стандарт протоколу: RFC 8446, 2.3.

Рукостискання також є багатим джерелом ідентичності. Початковий ClientHello клієнта перелічує підтримувані шифри, розширення та версії в порядку, що залежить від програмного забезпечення, і саме цей патерн фіксує TLS-відбиток, закодований як JA3 чи JA4. Тож те саме рукостискання, що захищає ваші дані, може й видати, який клієнт його виконав. Проксі передає рукостискання без змін і змінює лише вашу IP-адресу; відбиток задає ваш клієнт, і саме тому відтворення рукостискання справжнього браузера — це задача клієнтського ПЗ, а не мережі.

Рукостискання також визначає ваш TLS-відбиток, тож те саме узгодження, що захищає ваші дані, може видати, який клієнт його виконав, через JA3 чи JA4. Проксі передає рукостискання без змін і змінює лише вашу IP, тобто контроль над відбитком — це задача клієнтського ПЗ. Для автоматизації використовуйте ПЗ, що узгоджує TLS як справжній браузер, і тримайте свій User-Agent узгодженим із ним, щоб суворий сервер бачив одну цілісну історію, а не суперечність.