10. Security Considerations (安全考虑)

安全问题贯穿本文档讨论, 尤其见 Appendix C, Appendix D 和 Appendix E.

TLS 1.3 的安全性依赖正确的 handshake authentication, key schedule, record protection, alert handling, 以及 0-RTT anti-replay 策略. 实现者需要特别关注 certificate validation, random number generation, PSK entropy, downgrade protection, side-channel resistance, key update, 以及对 legacy compatibility mode 的约束.

应用在启用 0-RTT data 时必须理解其安全属性弱于普通 1-RTT data, 尤其是不提供 connection 间 non-replay 保证. server 应部署适当的 replay mitigation, 应用也应只把可安全重放的操作放入 early data.