http.sys et winhttp.dll ont SSL/TLS "reprise de session" et "faux départ"?

Question

Je ai une application écrite en Delphi qui attache winhttp.dll côté client, sur le côté serveur, il utilise mORMot (bibliothèque client-serveur SOA/ORM qui attache "http.sys" pour la fonctionnalité du serveur web). L'étape suivante sera également un client Web écrit en JS. Ainsi, pour chaque connexion normale avec une latence de ~ 100 ms, la connexion SSL/TLS sera comprise entre 350 ms et 350 ms. J'ai lu que par "reprise de session" et "faux départ" (en réutilisant le certificat et en poussant les données plus rapidement) la latence peut être quelque chose comme < 200ms, ce qui est un très gros gain pour moi.

Donc ma question est: "http.sys" (serveur) en combinaison avec "winhttp.dll" (client) peut utiliser ces avancements? Si oui, à partir de quelle version?

Remarque: Je suppose que cela commence avec Win8.1 et Win Server 2012, mais que je ne trouve aucun document, seul> = IIS 8.5 a une reprise de session.

Answer 1

J'essaie de trouver de la documentation là-dessus et c'est vraiment difficile à trouver. IISpeed.com indique simplement:

"Configurer les chiffrements de confidentialité pour activer le faux départ TLS". (https://www.iispeed.com/pagespeed/recommendations)

Voici quelques scripts PowerShell pouvant vous aider. Utiliser avec discrétion - https://www.hass.de/content/setup-your-iis-ssl-perfect-forward-secrecy-and-tls-12

Ilya Grigorik va dans un peu plus en détail à ce que les navigateurs ont besoin pour TLS Faux départ:

Pour activer TLS False Start sur tous les navigateurs du serveur devrait annoncer une liste des protocoles pris en charge via l'extension ALPN - par exemple, "h2, http/1.1" - et être configuré pour prendre en charge et préférer les suites de chiffrement qui permettent le secret de transfert. Un déploiement TLS bien paramétré devrait ajouter au plus un aller-retour supplémentaire pour négocier la connexion TLS, qu'elle soit nouvelle ou reprise, et éviter tous les autres pièges de latence: configurer la reprise de session et activer le secret de transfert pour activer TLS False Start. (https://hpbn.co/transport-layer-security-tls/#enable-1-rtt-tls-handshakes)

Cependant, je n'ai pas trouvé de guide d'implémentation qui vous guide étape par étape autre que cette page sur www.hass.de. (H2 est inclus dans la recommandation de l'en-tête HTTP d'Ilya, mais n'est pas requis pour le faux départ TLS.)

N'oubliez pas les autres moyens d'optimiser les performances TLS de votre serveur. Assurez-vous de lire le livre d'Ilya, https://hpbn.co/, ou au moins de consulter ses listes de contrôle pour tirer parti d'autres gains de performance. https://hpbn.co/transport-layer-security-tls/#optimizing-for-tls https://hpbn.co/transport-layer-security-tls/#enable-http-strict-transport-security-hsts