Worauf ist bei 0-RTT in TLS 1.3 zu achten, einem Verfahren, bei dem mit einem aus einer früheren Verbindung gewonnenen Pre-Shared Key „Early Data“ zusammen mit der ersten Nachricht gesendet werden?

Antwort: B. Replay-Angriffe, bei denen ein Angreifer aufgezeichnete Early Data erneut sendet, lassen sich nicht vollständig verhindern; es wird daher nur für Anfragen verwendet, deren Wiederholung unproblematisch ist

Bei 0-RTT leitet der Client aus dem in einer früheren Verbindung erhaltenen Pre-Shared Key einen Schlüssel für Early Data ab und sendet verschlüsselte Daten zusammen mit der ersten Nachricht, was die Wartezeit um einen Umlauf verkürzt. Da zu diesem Zeitpunkt jedoch noch keine neue Zufallszahl des Servers eingeflossen ist, kann ein Angreifer aufgezeichnete Early Data erneut senden, und der Server verarbeitet dieselbe Anfrage womöglich ein zweites Mal (Replay-Angriff). Außerdem sind Early Data nur durch den Pre-Shared Key geschützt und haben daher keine Forward Secrecy für den Fall, dass dieser Schlüssel abfließt. Grundregel ist deshalb, 0-RTT nur für Anfragen zu verwenden, deren Ergebnis sich bei mehrfacher Ausführung nicht ändert, etwa das Abrufen einer Seite, und nicht für Überweisungen oder Bestellungen.