TLS 密码套件及其 OpenSSL、GnuTLS 和 NSS 名称

TLS_NULL_WITH_NULL_NULL

首次握手完成之前连接所用的占位套件：没有密钥交换、没有身份验证，也没有任何保护。

TLS_NULL_WITH_NULL_NULL（0x00,0x00）描述 TLS 1.2 连接的初始状态（RFC 5246 §6.1）。它永远不会被协商选中；选择它的服务器存在严重缺陷。

TLS_RSA_WITH_RC4_128_SHA

使用 SHA-1 和 RSA 密钥传输的 RC4 套件，曾是应对 BEAST 的热门选择，现已被 RFC 7465 禁止。

RC4 不受2011年至2013年那些 CBC 攻击的影响，因此一度被推荐使用，但它的密钥流偏差让攻击者能够恢复反复发送的明文，例如 Cookie。RFC 7465 §2 规定客户端不得（MUST NOT）在 ClientHello 中包含 RC4 套件，服务器也不得（MUST NOT）选择它们。

TLS_RSA_WITH_3DES_EDE_CBC_SHA

TLS 1.1 规定必须实现的套件；它的 64 位分组使其易受 Sweet32 生日攻击。

RFC 4346 §9 要求 TLS 1.1 实现支持 TLS_RSA_WITH_3DES_EDE_CBC_SHA（OpenSSL：DES-CBC3-SHA）。三重 DES 的分组只有 64 位，同一密钥加密约 2^32 个分组后，碰撞就会泄露明文；2016年的 Sweet32 攻击正是用这种方式从长时间保持的连接中恢复出了 HTTP Cookie。

它也不具备前向保密。现代库默认禁用它，IANA 也将其标记为不建议使用。

TLS_RSA_WITH_AES_128_CBC_SHA

TLS 1.2 规定必须实现的套件；它没有前向保密、使用 CBC，现已被 RFC 10015 禁止。

RFC 5246 §9 要求每个 TLS 1.2 实现都支持 TLS_RSA_WITH_AES_128_CBC_SHA（OpenSSL：AES128-SHA），因此它是许多旧客户端最后的兜底套件。采用 RSA 密钥传输时，客户端用服务器证书中的公钥加密预主密钥：日后任何人只要获得对应的私钥，就能解密所有录下的会话。

先 MAC 后加密的 CBC 结构使它容易遭受 Lucky Thirteen 等填充预言攻击。RFC 10015 §4 现已规定，在 TLS 1.2 中客户端不得（MUST NOT）提供、服务器不得（MUST NOT）选择 RSA 密钥交换套件。

TLS_EMPTY_RENEGOTIATION_INFO_SCSV

一个信令值，而不是真正的套件：表示客户端支持安全重协商（RFC 5746）。

客户端把 TLS_EMPTY_RENEGOTIATION_INFO_SCSV（0x00,0xFF）放进密码套件列表，在不发送扩展的情况下表明自己支持安全重协商。RFC 5746 §3.3 引入它，是因为有些服务器无法正确处理扩展；它“不能被协商”。这一重协商修复堵住了2009年的攻击：攻击者曾能把自己的数据拼接到客户端重协商后的会话之前。

TLS_AES_128_GCM_SHA256

每个 TLS 1.3 实现都必须支持的密码套件：GCM 模式的 AES-128，密钥调度使用 SHA-256。

RFC 8446 §9.1 规定 TLS_AES_128_GCM_SHA256 是 TLS 1.3 中必须实现的套件，其后继标准 RFC 9846 保留了这一要求。在 TLS 1.3 中，套件只指定 AEAD 和 HKDF 使用的哈希；密钥交换（例如 X25519MLKEM768）和签名（例如 ecdsa_secp256r1_sha256）在各自的扩展中协商。

OpenSSL 用 -ciphersuites 配置 TLS 1.3 套件，而不是用 TLS 1.2 使用的 -cipher 字符串，所以修改服务器的密码套件列表往往不会影响 TLS 1.3。

TLS_AES_256_GCM_SHA384

使用 SHA-384 的 AES-256-GCM：RFC 8446 规定实现应当（SHOULD）支持的两个 TLS 1.3 套件之一。

TLS_AES_256_GCM_SHA384 将 256 位 AES 密钥与密钥调度中的 SHA-384 搭配使用。RFC 8446 §9.1 将它与 TLS_CHACHA20_POLY1305_SHA256 一起列为应当（SHOULD）支持的套件；大多数服务器都提供它，遵循 CNSA 的配置规范则要求使用它。

面对量子攻击者，Grover 算法最多只能把 AES 的有效密钥长度减半，因此 AES-256 仍有充足的安全余量；NIST 认为 AES-128 同样够用，因为这类攻击很难并行化。

TLS_CHACHA20_POLY1305_SHA256

ChaCha20-Poly1305，这个 TLS 1.3 套件在没有 AES 指令的设备上以软件实现也能高速运行。

TLS_CHACHA20_POLY1305_SHA256 使用 ChaCha20 流密码和 Poly1305 消息认证器（RFC 8439）。它无需硬件支持就能以常量时间运行，因此成为没有 AES 指令的移动设备上的首选套件；如果客户端把它列在首位，服务器通常会尊重这一选择。

RFC 8446 §9.1 规定 TLS 1.3 实现应当（SHOULD）支持它。对应的 TLS 1.2 套件是 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 和 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256（RFC 7905）。

TLS_AES_128_CCM_SHA256

用于 TLS 1.3 的 AES-128-CCM，主要用在已经具备 AES-CCM 硬件的受限设备上。

CCM 将 AES-CTR 加密与 AES-CBC-MAC 结合在一起，常见于物联网无线通信。IANA 将 TLS_AES_128_CCM_SHA256 标记为推荐；TLS_AES_128_CCM_8_SHA256 则不同，它的标签只有 8 字节，IANA 不推荐将其用于一般用途。

TLS_FALLBACK_SCSV

一个信令值，告诉服务器客户端正在用更低的协议版本重试（RFC 7507）。

握手失败后改用较旧协议版本重试的客户端，可能被攻击者一路降级到 SSL 3.0，2014年的 POODLE 正是利用了这一点。客户端在这类重试中发送 TLS_FALLBACK_SCSV（0x56,0x00）；如果服务器支持的版本高于客户端提供的版本，就会以 inappropriate_fallback 中止握手，而不是继续。TLS 1.3 在 ServerHello.random 中设置的降级哨兵值，使 TLS 1.3 对端之间不再需要这一机制。

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

使用 ECDSA 证书时常用的 TLS 1.2 套件：ECDHE 密钥交换、ECDSA 认证和 AES-128-GCM。

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256（RFC 5289）通过 ECDHE 临时密钥提供前向保密，并用 ECDSA 证书（通常基于 P-256）认证服务器。服务器持有 ECDSA 证书时，浏览器首选的 TLS 1.2 套件就是它。

在 OpenSSL 的密码套件字符串中，它写作 ECDHE-ECDSA-AES128-GCM-SHA256。只有 RSA 证书的服务器无法协商这个套件——TLS 1.2 套件中的认证部分必须与证书的密钥类型一致。

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

HTTP/2 要求支持的 TLS 1.2 套件：ECDHE 密钥交换、RSA 认证和 AES-128-GCM。

RFC 9113 §9.2.2 要求使用 TLS 1.2 的 HTTP/2 部署支持搭配 P-256 曲线的 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256，这样，同时遵守 HTTP/2 对 TLS 1.2 所加限制的客户端和服务器总能找到共同支持的套件。

OpenSSL 称之为 ECDHE-RSA-AES128-GCM-SHA256。尽管名称中带有 RSA，RSA 密钥只用于对握手签名；会话密钥来自 ECDHE 临时密钥交换，因此该套件具有前向保密。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

最常用的 TLS 1.2 套件的 256 位版本：ECDHE、RSA 认证、AES-256-GCM 以及基于 SHA-384 的 PRF。

几乎所有使用 RSA 证书的 TLS 1.2 服务器都提供 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384（RFC 5289）。名称中的 SHA384 指定 TLS 1.2 PRF 所用的哈希；GCM 本身不需要单独的 MAC。

TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256

用于 TLS 1.2 的 ChaCha20-Poly1305，采用 ECDHE 密钥交换和 ECDSA 证书（RFC 7905）。

该套件于2016年加入 TLS 1.2，让尚不能提供 TLS 1.3 的服务器也能使用适合软件实现的 ChaCha20-Poly1305 AEAD。IANA 将其标记为推荐。OpenSSL 中的名称是 ECDHE-ECDSA-CHACHA20-POLY1305。