Внешний PSK TLS: общий секрет требует отдельного учёта участников
Фотография конкретного исполнения не приложена.
Отсутствие сертификатов может упростить интеграцию небольшой группы устройств. Но общий PSK переносит важную часть задачи в управление секретами. Нужно понимать, кто способен использовать ключ и как прекратить доступ отдельного участника без неопределённости для остальных.
RFC 9257 различает внешние PSK и данные возобновления, созданные TLS. Отдельно рассматривается entropy: короткий запоминаемый пароль нельзя считать эквивалентом качественно сформированного ключа. Разные режимы обмена также дают разные свойства; одно слово PSK не описывает весь профиль защиты соединения.
Если один секрет известен группе, подтверждение владения им не выделяет конкретное устройство среди всех держателей. Для исключения участника может понадобиться обновление материала остальных. Красивый передаваемый identifier не создаёт индивидуальную криптографическую идентичность, если за ним фактически стоит тот же общий секрет.
В приёмке описывают выдачу, хранение, ротацию и отзыв PSK вместе с выбранным режимом TLS. Проверяют отказ старому участнику и доступ оставшихся после предусмотренного обновления. Отчёт должен показывать границу индивидуального учёта. Успешный handshake с общим ключом подтверждает владение секретом, но не решает автоматически задачи персональной атрибуции и отзыва.
Основание — Numbered IETF TLS and certificate lifecycle references; TLS1.3 RFC9846 July2026 replacing RFC8446, разделы RFC9257 External PSK selection; shared group identity; entropy; provisioning. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использованы указанные RFC, включая базовую редакцию TLS 1.3 RFC 9846 от июля 2026 года, заменившую RFC 8446. Это разбор отдельных механизмов, а не полный профиль защиты. Реальные библиотека, сертификаты, trust store и настройки сервиса не проверялись; ключи, соединения и выпуск сертификатов не выполнялись.
