Servidores TLS 1.3 que negociam uma versão mais antiga devem definir os últimos 8 bytes de ServerHello.random como 44 4F 57 4E 47 52 44 01 (DOWNGRD em ASCII mais 0x01) para TLS 1.2, ou …00 para TLS 1.1 e anteriores; clientes TLS 1.3 que recebem esse valor devem abortar a conexão (RFC 9846 §4.2.3). Como o valor aleatório do servidor (server random) é coberto pela assinatura do servidor, um atacante não consegue removê-lo.
Defesas anteriores: o valor de sinalização TLS_FALLBACK_SCSV (RFC 7507), contra navegadores que tentavam de novo com versões inferiores (a era do POODLE), e o hash da transcrição do handshake em Finished, que detecta a adulteração dos parâmetros negociados. No TLS 1.2, os downgrades para troca de chaves export ou RSA (FREAK, Logjam) funcionavam porque os servidores ainda aceitavam as opções fracas; desativá-las é a correção de verdade.
A mesma ideia vale em outros lugares: o HSTS e o MTA-STS impedem downgrades de HTTPS ou STARTTLS para texto claro, e a troca de chaves híbrida não deve permitir que uma das partes remova o componente pós-quântico, e é por isso que ela é negociada como um único grupo.