TLS 1.3如何防范中间人（MITM）攻击？

TLS 1.3主要通过以下几个核心机制阻止中间人分别与客户端、服务器建立独立连接并窃取数据：

• 密钥交换与身份强绑定
  不管使用ECDHE还是其他密钥交换算法，服务器都会用自身私钥对密钥交换过程中的关键参数（如服务器公钥、会话随机数等）进行签名。客户端收到后，会用服务器的合法公钥验证签名——一旦中间人篡改了密钥参数，签名必然验证失败，客户端会直接终止连接，不会继续后续的密钥协商。

• 握手过程的早期加密
  TLS 1.3的握手流程从ServerHello之后的所有消息都处于加密状态，中间人无法获取密钥交换的完整明文信息。就算中间人截获了初始的ClientHello，也没法伪造合法的后续握手消息，更没法生成能同时骗过客户端和服务器的共享密钥。

• 证书链的合法性验证
  客户端会强制验证服务器提供的证书链：检查证书是否由受信任的CA签发、证书域名是否与目标域名匹配、证书是否过期或被吊销。中间人若想伪造证书，要么拿不到合法CA的签名，要么域名匹配不上，客户端会直接拒绝建立连接。

• 0-RTT模式的防护
  针对快速重连的0-RTT模式，客户端发送的早期数据会绑定到之前已验证过的会话密钥和服务器身份上。中间人没有之前会话的共享密钥，根本无法伪造有效的早期数据，服务器收到非法的0-RTT数据也会直接拒绝。

内容的提问来源于stack exchange，提问作者bob