# Hoe werkt een TLS-handshake?

Bij TLS 1.3 kost het één heen-en-terugreis voordat er data stroomt. De client stuurt een ClientHello met de TLS-versies, cijfersuites en groepen voor sleuteluitwisseling die hij ondersteunt, een sleutelaandeel voor zijn voorkeursgroep en meestal de naam van de gewenste server (SNI). De server antwoordt met een ServerHello die versie, cijfersuite en groep kiest, plus een eigen sleutelaandeel. Uit de twee aandelen leiden beide kanten hetzelfde geheim af, en vanaf dat moment is alles versleuteld, ook het servercertificaat en het bewijs dat de server de bijbehorende privésleutel heeft. De client controleert het certificaat tegen de autoriteiten die hij vertrouwt, en de applicatiedata begint. ClientHello en ServerHello gaan onversleuteld over de lijn, en daarom kan een passieve sensor de TLS-versie, de gekozen groep voor sleuteluitwisseling, bijvoorbeeld klassiek X25519 of hybride X25519MLKEM768, en een clientfingerprint zien zonder iets te ontsleutelen. Met Encrypted Client Hello wordt ook een deel van de ClientHello, inclusief de servernaam, verborgen.

FAQ: [Versleuteling en versleuteld verkeer](https://netsenx.com/nl/faq/encryption) · https://netsenx.com/nl/faq/how-does-a-tls-handshake-work

## Lees verder

- https://netsenx.com/nl/encrypted-traffic-analysis
- https://netsenx.com/nl/what-is-ndr

## Gerelateerde vragen

- [Wat is er veranderd tussen TLS 1.2 en TLS 1.3?](https://netsenx.com/nl/faq/what-changed-between-tls-1-2-and-tls-1-3)
- [Moeten we TLS 1.0 en 1.1 uitschakelen?](https://netsenx.com/nl/faq/should-we-disable-tls-1-0-and-1-1)
- [Welke TLS-cijfersuites moeten we uitschakelen?](https://netsenx.com/nl/faq/which-tls-ciphers-should-we-turn-off)
- [Wat is forward secrecy?](https://netsenx.com/nl/faq/what-is-forward-secrecy)
- [Wat is versleuteling, in gewone taal?](https://netsenx.com/nl/faq/what-is-encryption-in-plain-terms)