为什么TLS握手过程需要三对密钥而非三个独立密钥？

成对使用双向独立write key的核心优势 #

• 抵御跨方向重放攻击：两个传输方向使用完全独立的密钥，攻击者无法将截获的服务端到客户端的响应报文，反向发送给服务端伪造请求，也无法将客户端的请求报文重放给客户端伪造响应，因为方向不匹配的报文无法通过对应密钥解密校验，会被直接丢弃。
• 降低密钥泄露的影响范围：如果某一方向的密钥因为侧信道攻击、内存泄露等意外情况泄露，另一方向的传输数据仍然可以保持安全，不会出现单点密钥泄露导致全链路数据完全失密的问题。
• 避免加密状态冲突：对于流密码、CBC等依赖加密上下文的对称加密算法来说，双向使用独立密钥可以让两个方向的加密/解密状态完全隔离，不需要做额外的状态同步，既提升了高并发场景下的处理性能，也避免了状态混淆导致的解密失败问题。
• 降低实现出错概率：双向密钥拆分后，收发逻辑的密钥使用边界清晰，开发实现时不会出现收发密钥混用的低级错误，也更符合权限最小化的安全设计原则。

双向共用同一密钥的潜在问题 #

• 重放攻击风险大幅提升：攻击者可以直接将截获的任意方向报文，反向重放给另一端，同一密钥下报文可以正常解密校验，很容易被用来伪造请求或响应，比如重放支付、鉴权报文直接造成业务损失。
• 密码分析攻击面变大：同一密钥下，两个方向的密文可以合并进行分析，一旦出现相同明文块，会生成完全一致的密文，攻击者可以通过密文匹配快速推测明文内容，大幅降低密码破解的难度。
• 泄露影响范围翻倍：一旦该唯一密钥泄露，两个方向的所有历史、未来传输数据都会直接失密，没有任何缓冲空间。
• 高并发场景稳定性差：双向加密解密共用同一密钥的情况下，如果加密状态（比如流密码的密钥流偏移、CBC的IV序列）没有做严格的隔离同步，很容易出现状态混淆，导致两端的报文都无法正常解密，影响传输稳定性。

内容的提问来源于stack exchange，提问作者Gordon