🗺️ O Handshake TLS 1.3 em 1-RTT com Troca de Chaves Efêmera (ECDHE)

sequenceDiagram
    autonumber
    actor C as Navegador / Cliente
    actor S as Servidor Web / Nginx

    Note over C,S: 1-RTT Handshake TLS 1.3 🔒
    
    C->>S: ClientHello + Parâmetro de Chave Efêmera (ECDH Key Share) + Ciphers TLS 1.3
    S->>C: ServerHello + Server Key Share + Certificado X.509 + Finished
    
    Note over C: Cliente calcula Chave Simétrica (AES-256-GCM / ChaCha20)
    Note over S: Servidor calcula a mesma Chave Simétrica
    
    C->>S: Finished + Primeiro HTTP Request Criptografado ⚡
    S-->>C: Resposta HTTP Criptografada

📖 Fundamentos e Aplicação

A segurança e a privacidade de toda a navegação web moderna dependem do protocolo TLS (Transport Layer Security), cujo padrão ouro atual é o TLS 1.3 (RFC 8446), sucedendo o TLS 1.2 e os antigos protocolos SSL.

1. Inovações e Hardening do TLS 1.3:

  • Redução de Latência (1-RTT e 0-RTT): O estabelecimento de canal seguro caiu de 2 viagens de ida e volta (2-RTT) no TLS 1.2 para apenas 1-RTT (ou 0-RTT em reconexões Early Data).
  • Sigilo Perfeito de Encaminhamento Obrigatório (Forward Secrecy - PFS): Eliminação de troca de chaves estáticas baseadas em RSA. Apenas curvas elípticas efêmeras (ECDHE com X25519 ou P-256) são permitidas.
  • Ciphersuites Seguras de Criptografia Autenticada (AEAD): Suporte restrito a algoritmos ultra-seguros como TLS_AES_256_GCM_SHA384 e TLS_CHACHA20_POLY1305_SHA256.

2. Infraestrutura de Certificados X.509 e ACME:

  • Cadeia de Confiança (PKI): Certificados emitidos por Autoridades Certificadoras Raiz (Root CAs) e Intermediárias.
  • Protocolo ACME (Automatic Certificate Management Environment): Automação completa de emissão e renovação de certificados SSL gratuitos a cada 90 dias através do Let’s Encrypt e da ferramenta Certbot.