排查自定义TLS 1.2库连接microsoft.com时ClientHello握手失败原因

我正在修复一个自定义TLS 1.2库的Bug，该库能正常连接部分站点，但无法连接microsoft.com。之前通过添加SNI扩展解决了google.com的连接问题，现在需要排查与microsoft.com连接时ClientHello握手失败的原因。

抓包信息如下：

TLSv1.2 Record Layer: Handshake Protocol: Client Hello
    Content Type: Handshake (22)
    Version: TLS 1.2 (0x0303)
    Length: 73
    Handshake Protocol: Client Hello
        Handshake Type: Client Hello (1)
        Length: 69
        Version: TLS 1.2 (0x0303)
        Random: b1a2b0f5db8e81262098074baf109bcbfa234597972087779be62c3a391de356
        Session ID Length: 0
        Cipher Suites Length: 6
        Cipher Suites (3 suites)
            Cipher Suite: TLS_RSA_WITH_AES_256_CBC_SHA (0x0035)
            Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
            Cipher Suite: TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)
        Compression Methods Length: 1
        Compression Methods (1 method)
            Compression Method: null (0)
        Extensions Length: 22
        Extension: server_name (len=18)
            Type: server_name (0)
            Length: 18
            Server Name Indication extension
                Server Name list length: 16
                Server Name Type: host_name (0)
                Server Name length: 13
                Server Name: microsoft.com
        [JA3 Fullstring: 771,53-47-10,0,,]
        [JA3: 2883bc8e420c3ea85bb4b5d5081fd6e0]


TLSv1.2 Record Layer: Alert (Level: Fatal, Description: Handshake Failure)
    Content Type: Alert (21)
    Version: TLS 1.2 (0x0303)
    Length: 2
    Alert Message
        Level: Fatal (2)
        Description: Handshake Failure (40)

问题分析 #

从抓包的ClientHello内容来看，握手失败的核心原因有两点：

1. 密码套件不兼容：当前仅提供3种纯RSA密钥交换的CBC模式套件，这类套件缺乏前向保密性且存在安全隐患，微软服务器已不再支持这类老旧套件。微软要求客户端支持ECDHE密钥交换的GCM模式套件，这类是现代TLS的标配。
2. 缺失关键TLS扩展：ClientHello仅包含SNI扩展，缺少多个TLS 1.2握手必需的扩展：
   • supported_groups：告知服务器客户端支持的椭圆曲线，是ECDHE密钥交换的前提
   • ec_point_formats：定义椭圆曲线点的传输格式，通常需支持uncompressed格式
   • signature_algorithms：指定客户端能验证的签名算法，服务器需据此选择合适的证书签名算法

修复建议 #

• 更新密码套件列表：添加ECDHE-RSA搭配GCM模式的安全套件，比如：
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384（0xc030）
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256（0xc02f）
    可保留原有RSA套件作为 fallback，但优先添加现代安全套件
• 补充必要扩展：
  • 添加supported_groups扩展，包含常用椭圆曲线（如secp256r1、secp384r1）
  • 添加ec_point_formats扩展，指定uncompressed格式
  • 添加signature_algorithms扩展，包含rsa_pkcs1_sha256、rsa_pkcs1_sha384等主流签名算法

内容的提问来源于stack exchange，提问作者Hodza