Quelle mise en garde concernant le 0-RTT de TLS 1.3 (envoi de « données précoces » (early data) avec le premier message, à l'aide d'une clé pré-partagée obtenue lors d'une connexion antérieure) est correcte ?

Réponse : B. Les attaques par rejeu qui renvoient des données précoces enregistrées ne peuvent pas être totalement empêchées ; on réserve donc le 0-RTT aux requêtes sans conséquence si elles sont répétées

Avec le 0-RTT, le client dérive une clé pour les données précoces à partir de la clé pré-partagée reçue lors d'une connexion antérieure et envoie des données chiffrées avec son premier message, ce qui économise un aller-retour d'attente. À ce stade, cependant, la nouvelle valeur aléatoire du serveur n'a pas encore été utilisée : si un attaquant renvoie des données précoces enregistrées, le serveur risque de traiter une deuxième fois la même requête (attaque par rejeu). En outre, les données précoces ne sont protégées que par la clé pré-partagée, si bien qu'il n'y a pas de confidentialité persistante si cette clé fuit. Le 0-RTT est donc en principe réservé aux requêtes dont le résultat ne change pas quel que soit le nombre d'exécutions, comme la récupération d'une page, et n'est pas utilisé pour les virements ou les commandes.