ssl - http.sys 和 winhttp.dll 有 SSL/TLS "session resumption"和 "false start"？

Question

我有一个用 Delphi 编写的应用程序，它附加了客户端 winhttp.dll，在服务器端它使用 mORMot(SOA/ORM 客户端-服务器库，附加了“http.sys”以实现 Web 服务器功能)。下一步也是用 JS 编写的 Web 客户端。

因此，对于每个具有约 100 毫秒延迟的正常连接，包括 SSL/TLS 握手在内的延迟将 > 350 毫秒。

我读到通过“ session 恢复”和“错误启动”(通过重复使用证书和更快地推送数据)延迟可能小于 200 毫秒，这对我来说是一个非常大的收获。

所以我的问题是:“http.sys”(服务器)结合“winhttp.dll”(客户端)可以使用这些进步吗？如果是，来自哪个版本？

注意:我想从 Win8.1 和 Win Server 2012 开始这是真的，但我找不到任何文档，只有 >= IIS 8.5 有 session 恢复。

Answer 1

我也在努力寻找这方面的文档，但肯定很难找到。 IISpeed.com 只是说:

"Configure forward secrecy ciphers to enable TLS False Start." (https://www.iispeed.com/pagespeed/recommendations)

以下是一些可能有用的 PowerShell 脚本。谨慎使用 - https://www.hass.de/content/setup-your-iis-ssl-perfect-forward-secrecy-and-tls-12

Ilya Grigorik 详细介绍了浏览器对 TLS False Start 的要求:

To enable TLS False Start across all browsers the server should advertise a list of supported protocols via the ALPN extension—e.g., "h2, http/1.1"—and be configured to support and prefer cipher suites that enable forward secrecy. (https://hpbn.co/transport-layer-security-tls/#deploying-tls-false-start)

A well-tuned TLS deployment should add at most one extra roundtrip for negotiating the TLS connection, regardless of whether it is new or resumed, and avoid all other latency pitfalls: configure session resumption, and enable forward secrecy to enable TLS False Start. (https://hpbn.co/transport-layer-security-tls/#enable-1-rtt-tls-handshakes)

但是，除了 www.hass.de 上的那个页面之外，我还没有找到指导您逐步完成的实现指南。 (H2 包含在 Ilya 的 HTTP header 建议中，但 TLS False Start 不需要。)

不要忘记优化服务器 TLS 性能的其他方法。请务必通读 Ilya 的书，https://hpbn.co/ ，或者至少通过他的 list 来利用其他性能提升。 https://hpbn.co/transport-layer-security-tls/#optimizing-for-tls https://hpbn.co/transport-layer-security-tls/#enable-http-strict-transport-security-hsts