摘要

  • RFC 9973 允许 TLS 1.3 在保持证书认证的同时，将选中的外部 PSK 和 (EC)DHE 共享秘密纳入密钥派生。
  • PSK identity 与 binder 证明本次握手两端对选中项使用了相同的键值；它们不证明秘密来自谁、是否独占、是否按用途受限，或业务动作是否获准。
  • 可靠的审计链必须把秘密生成、供应、保管、协商、证书验证、应用决策、提交和独立观察分开记录。

想象一批出厂设备。工厂给每台设备烧录了公钥和一个秘密；企业希望设备在拿到普通账户之前先完成安全入网。采购方看到“有证书，也有预置秘密”时，很容易把两者统称为设备身份。可是这两个对象的控制面不同。公钥的证书可能由一套 PKI 管理；PSK 可能被工厂、代工、物流初始化服务、客户运维平台和灾备库分别接触。把它们叫作同一身份，正好抹掉了需要治理的差异。

RFC 9973 于 2026 年 7 月以 IETF Standards Track 发布，取代实验性的 RFC 8773。它定义 tls_cert_with_extern_psk。协商成功时，TLS 1.3 的密钥日程同时吸收外部 PSK 和 (EC)DHE 秘密；服务端与可选客户端的认证仍由证书公钥可验证的签名承担。这里的 external PSK 指不是由前一次 TLS 握手建立的 PSK；后者是 resumption PSK。两者不能因为都叫 PSK 而被随意互换。

客户端提出该扩展时，还必须带上 key_share、supported_groups、psk_key_exchange_modes 和 pre_shared_key，不得同时带 early_data。初始握手必须使用 psk_dhe_ke；列出的 PSK 必须都是外部 PSK，混入恢复 PSK 会触发 illegal_parameter。只有服务端愿意采用客户端给出的某个外部 PSK 并执行证书认证时，才会在 ServerHello 回送该扩展。IANA 将 extension type 33 登记为共享语义；登记表不等于某个客户端、服务器或设备已经实现它。

binder 证明的窄事实

服务端选择的是客户端列表中的一个 identity 索引。相应 binder 基于外部 PSK 派生的键和当前握手的部分 transcript 计算。验证通过，说明两端在这一段协议执行里把同一键值关联到选中 identity。它很重要，却很窄：它不说明 identity 是法律主体，不说明只有两个端点知道秘密，不说明秘密随机源可靠，也不说明这台设备现在有权进入某个租户或执行一条命令。

RFC 9973 对这个边界没有含糊处理。外部 PSK 的生成、分发和管理在规范范围之外；但面对未来相关量子计算威胁时，它所讨论的长期保密性又依赖 PSK 的机密性、熵和真实性。规范要求安全的密钥管理技术和足够长度，且警告弱伪随机过程会把攻击者的搜索空间缩小到可复现的环境。RFC 4086提供随机性要求，不能替某一工厂或密钥服务背书。

证书认证没有被 PSK 接管。RFC 9973 明确禁止让外部 PSK 成为唯一认证基础；证书及 CertificateVerify 仍负责此事。因而不能把“外部 PSK 增加了一个保密条件”说成“整条连接已天然抗量子”。当未来攻击者能破坏原有 (EC)DH 时，只要他仍拿不到强 PSK，会话秘密可能仍受保护；证书签名的长期认证问题并没有因此消失。RFC 9958只给出这一类 TLS 风险语境，不给特定部署判定。

重复使用会改变另一层事实。只供一个会话、且只由两端持有的 PSK，与跨会话重用或多人持有的 PSK，不具有相同的会话分离与暴露面。PSK identity 会随着 pre_shared_key 在明文 ClientHello 中出现，可能被动观察者用来关联连接。轮换 identity 与 Encrypted Client Hello 可以缓解关联，却不能自动回答“谁应当看到这个 identity”“设备如何安全取得下一代秘密”。

让保管链可复核

每种外部 PSK 应先有一张用途卡：是出厂入网、短期保密桥接、固定服务对，还是临时事故通道；允许的 TLS 版本、哈希和对端范围是什么。随后保留生成或派生类别、供应通道、保管者、轮换条件与销毁证据。审计日志不应复制秘密本身，而应保存安全的关联标识和可核验的事件。

对高价值或抽样会话，再保存协商证据：扩展是否被提出与接受、选择项的安全关联、psk_dhe_ke、证书链和名称/身份策略结果、Finished 或 alert。最后附上完全独立的应用证据：设备或服务为何拥有这项操作权限、请求的时效与重放条件、是否持久提交、下游是否观察到结果。TLS 日志只能覆盖中间的一段。

Heng Lu 的运行代码优先原则在这里要求看实际路径而非看“支持 RFC 9973”的配置。其关于技术形式与实际控制的区分则要求追问：资产登记在谁名下不重要，今天谁仍能读、复制、导出或恢复该 PSK 才重要。RFC 的最小共同语义留下了合理的本地选择空间；本地选择也留下了本地责任。

来源