3. 动机

空值是敌人. TLS 1.3 明白这一点. TLS 1.3 的设计者采取了非常措施, 确保空加密, 空认证和空密钥交换都无法被协商. 他们移除了出口密码. 他们移除了 Rivest Cipher 4 (RC4). 他们移除了密码块链接 (Cipher Block Chaining, CBC) 模式. 他们移除了 RSA 密钥交换. 他们做得很彻底.

然而 ...

在常见情况下, 密钥调度的开场动作是一串零字节. 从安全角度看, 这在技术上没有问题; 使用零字节 IKM 的 HKDF-Extract [RFC5869] 是一个已充分理解的操作, 其输出是伪随机的. 但它在精神层面令人不安.

通过纳入强制音频组件, BUSA-TLS 实现达到这样一种状态: 密钥调度中的每个字节, 从第一次 HKDF-Extract 到最终应用流量密钥导出, 都位于一段音频录音的下游, 而 Broward County Sheriff's Office 曾试图压制这段录音.

作者认为这是一项改进.