TLS PRF
La función pseudoaleatoria que usaban TLS 1.0–1.2 para derivar el secreto maestro y las claves de sesión, hasta que HKDF tomó el relevo en TLS 1.3.
Su núcleo es P_hash: HMAC encadenado, donde cada paso recibe la salida anterior más una semilla, hasta reunir suficientes bytes. A partir del secreto premaster y los valores aleatorios de ambas partes se deriva primero un master secret de 48 bytes, y de él un bloque de claves con las claves de cifrado, las claves MAC y los IV de ambos sentidos.
TLS 1.0 y 1.1 cubrían la apuesta combinando con XOR P_MD5 y P_SHA1, con la esperanza de que al menos uno de los dos hashes aguantara. TLS 1.2 (RFC 5246, 2008) pasó a P_SHA256 por defecto. El diseño heredó además una debilidad en cómo el secreto maestro se ligaba al handshake, que el ataque de triple handshake aprovechó en 2014; el arreglo fue el extended master secret (RFC 7627). TLS 1.3 sustituyó todo el esquema por HKDF.