Network: HTTP/3, TLS và WebSocket

Stream 1: [frame1][frame2]        [frame4]  ← chờ frame3
Stream 3: [frame1]                [frame2]  ← chờ frame3
Stream 5: [frame1][frame2][frame3][frame4]  ← chờ frame3
                          ↑
                    Packet loss tại đây
                    → TẤT CẢ streams phải chờ TCP retransmit

HTTP/1.1, HTTP/2:              HTTP/3:
  ┌─────────────┐                ┌─────────────┐
  │   HTTP      │                │   HTTP/3    │
  ├─────────────┤                ├─────────────┤
  │   TLS 1.3   │                │    QUIC     │  ← TLS 1.3 tích hợp bên trong
  ├─────────────┤                ├─────────────┤
  │   TCP       │                │    UDP      │
  ├─────────────┤                ├─────────────┤
  │   IP        │                │    IP       │
  └─────────────┘                └─────────────┘

QUIC Long Header (handshake):
  ┌─┬────────────────────────────────────────────────┐
  │1│ Header Form (1) + Version (32) + ...           │
  ├─┴────────────────────────────────────────────────┤
  │  Destination Connection ID                       │
  │  Source Connection ID                            │
  │  Packet-type-specific fields...                  │
  └──────────────────────────────────────────────────┘

QUIC Short Header (data):
  ┌─┬──────────────────────────────────────────────┐
  │0│ Fixed Bit + Spin + Key Phase + Packet Number │
  ├─┴──────────────────────────────────────────────┤
  │  Destination Connection ID                     │
  │  Packet Number (1-4 bytes)                     │
  │  Payload (QUIC frames, encrypted)              │
  └────────────────────────────────────────────────┘

TCP: (192.168.1.5:50000, 93.184.216.34:443) → IP đổi → chết
QUIC: ConnectionID=0xA3F2... → IP đổi → vẫn sống

Thực tế: Bạn xem YouTube, đi vào thang máy, WiFi mất, 4G bắt
  HTTP/2: buffer, reconnect, có thể giật
  HTTP/3: seamless, không gián đoạn

HTTP/2 (TCP + TLS 1.3):
  RTT 1: TCP SYN / SYN-ACK
  RTT 2: TLS ClientHello / ServerHello
  RTT 3: First HTTP request
  → Tổng: 2-3 RTT trước khi nhận data

HTTP/3 (QUIC):
  First connection:
    RTT 1: QUIC Initial (kết hợp TCP+TLS handshake)
    RTT 2: First HTTP request
    → Tổng: 1 RTT

  Resumed connection (0-RTT):
    → Gửi request NGAY trong packet đầu tiên — 0 RTT overhead!
    → Dùng Pre-Shared Key từ session trước

Stream 1: packet 1, 2, [mất 3], 4...  → chỉ Stream 1 chờ retransmit
Stream 3: packet 1, 2, 3, 4...        → tiếp tục bình thường
Stream 5: packet 1, 2, 3, 4...        → tiếp tục bình thường

Client                              Server
  │                                   │
  │── ClientHello ───────────────────►│
  │   - key_share (ECDH public key)   │
  │   - supported cipher suites       │
  │                                   │
  │◄─ ServerHello ────────────────────│
  │   - key_share (server ECDH key)   │
  │   - selected cipher suite         │
  │                                   │
  │   [Cả hai bên derive Handshake Keys từ ECDH — không cần thêm round trip]
  │                                   │
  │◄─ {EncryptedExtensions} ──────────│   ← Từ đây mọi thứ đều encrypted
  │◄─ {Certificate} ──────────────────│
  │◄─ {CertificateVerify} ────────────│
  │◄─ {Finished} ─────────────────────│
  │                                   │
  │── {Finished} ────────────────────►│
  │── {Application Data} ────────────►│   ← 1 RTT total!

Root CA (tự ký, trong browser/OS trust store)
    │ ký
    ▼
Intermediate CA
    │ ký
    ▼
End-entity Certificate (example.com)
    └── Subject: CN=example.com
        Valid: 2024-01-01 to 2025-01-01
        SAN: example.com, *.example.com
        Signature: [signed by Intermediate CA]

Trình duyệt verify:
  1. Certificate chưa hết hạn
  2. Signature chain về đến Root CA tin cậy
  3. Domain match (CN hoặc SAN)
  4. Certificate chưa bị revoke (CRL/OCSP)

Client gửi trong TLS ClientHello:
  Extension: ALPN
  Protocols: ["h2", "http/1.1"]  ← thứ tự = ưu tiên

Server chọn và thông báo trong ServerHello:
  Extension: ALPN
  Protocol: "h2"

Client:
GET /chat HTTP/1.1
Host: example.com
Upgrade: websocket
Connection: Upgrade
Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==
Sec-WebSocket-Version: 13

Server:
HTTP/1.1 101 Switching Protocols
Upgrade: websocket
Connection: Upgrade
Sec-WebSocket-Accept: s3pPLMBiTxaQ9kYGzzhZRbK+xOo=
                      ↑
                      base64(SHA1(key + magic GUID))
                      Ngăn non-WebSocket server phản hồi nhầm

  0                   1                   2                   3
  0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
 ┌─┬─┬─┬─┬─────────┬─┬───────────────────────────────────────────┐
 │F│R│R│R│ Opcode  │M│            Payload Length                 │
 │I│S│S│S│  (4)    │A│           (7 bits or 7+16 or 7+64)        │
 │N│V│V│V│         │S│                                           │
 │ │1│2│3│         │K│                                           │
 ├─┴─┴─┴─┴─────────┴─┴───────────────────────────────────────────┤
 │         Masking-key (32 bits, only if MASK=1)                 │
 ├───────────────────────────────────────────────────────────────┤
 │                    Payload Data                               │
 └───────────────────────────────────────────────────────────────┘

Opcodes:
  0x1 = text frame (UTF-8)
  0x2 = binary frame
  0x8 = close
  0x9 = ping   0xA = pong

Client → Server PHẢI mask payload. Server → Client không mask.
Lý do: ngăn cache poisoning attacks trên proxy.