会话中的AEAD记录层

形式陈述 ​

记录层在一个已经建立并认证的会话内保护多条消息。本页采用可乱序传输、显式序号的教学模型，每条记录至多65535字节明文，方向 $d\in \{c2s,s2c\}$。会话上下文是最终握手摘要 $t$；经域分离理路密码用途的域分离Cryptographic domain separation · Purpose-separated key derivation把用途、角色、版本与输出长度纳入单射标签域，证明随机函数限制在互不相交输入集上独立，并定位删除标签失去的性质。得到两把应用密钥 $K_d$。

对于序号s，固定编码理路密码协议字段的无歧义编码Cryptographic protocol field encoding · Length-delimited transcript encoding规定字段类型、长度和解析边界，用可逆编码把语义元组唯一映为认证字节，并拒绝截断、尾随及多重解释。的公开头部

发送端从nonce分配器理路AEAD nonce的预留与重启AEAD nonce lifecycle · Durable nonce reservation用先持久化后使用的区间预留维持同密钥nonce唯一性，证明崩溃跳号安全，并界定回滚、克隆、并发写者与耗尽边界。取一个未用过的s，调用AEAD理路认证加密Authenticated encryption · AE同时提供机密性与密文完整性的对称加密接口和安全目标。得到 $C={\mathrm{Enc}}_{K_d}(N,A,M)$，线上记录为 $(A,C)$。头部受认证但不保密；序号映射对合法64位s是单射。序号、方向和会话标识参与不同接口，各自作用不因重复出现而可以随意删除。

接收端依次检查长度与格式、固定的协议/版本/会话/方向/类型、重放窗理路认证记录的滑动重放窗Authenticated anti-replay window · Sliding replay bitmap在合法认证之后用最高序号和位图原子提交接收状态，允许有限乱序而拒绝重复，并说明伪造大序号、回滚和并发边界。资格，然后使用自己的期望上下文验AEAD；成功后提交窗口再交付明文。解析失败、认证失败或重放拒绝，都不能向上层交付候选明文。窗口更新的并发与持久化语义必须与所声称的交付保证匹配。