HTTPSセッションキーを生成するのは誰ですか？

Question

一部の情報源によれば、Webブラウザはセッションキーを生成します。今、Webブラウザがそれを生成すると、それは再生攻撃のために脆弱です。

また、一部の情報源によれば、サーバーの一部とクライアントが生成する残りの部分が生成されることがあります。 HTTPSはどのようにセッションキーを生成しますか？

Answer 1

クライアントとサーバの両方は、「Pre-Master Secret」を生成するために他のデータと一緒に使用されるNonceを生成します。接続が閉じられた後でさえ、セッションは再開され、同じ「マスターシークレット」が使用されます。このすべてはThe first few milliseconds of an HTTPS Connectionでカバーされています。