Non ci sono.

AFAIK non c'è nulla all'interno di TLS 1.3 Draft a riguardo. E non credo che ci sia una soluzione tecnica a questo. Se consenti a qualcuno di installare una CA radice aggiuntiva sul tuo computer, tutte le scommesse sono disattivate.

TLS di per sé protegge lo sniffing e la modifica del traffico tra due endpoint, ovvero client e server. L'intercettazione TLS crea solo due connessioni TLS in cui solo una era, cioè il client per il dispositivo di intercettazione e il dispositivo di intercettazione per il server. Funzionerà ancora con versioni future di TLS.

L'intercettazione TLS è possibile solo se la convalida degli endpoint non rileva l'intercettazione (o lo consente esplicitamente). Il modo in cui viene eseguita la convalida dell'endpoint non fa parte del protocollo TLS stesso e pertanto le modifiche al protocollo TLS non incideranno su questa parte. Pertanto i meccanismi correnti per l'intercettazione SSL utilizzando una CA proxy affidabile saranno funzionano ancora come il pinning SSL se l'intercettazione non dovrebbe essere consentita. Nota che i browser di oggi ignoreranno il blocco se il certificato è firmato da una CA esplicitamente aggiunta, il che significa che il blocco verrà ignorato quando viene utilizzata l'intercettazione TLS legale. Ma ancora una volta è un problema di convalida del certificato e non è correlato alla versione TLS.

Alcune nuove ricerche sembrano indicare che 1.3 blocca correttamente l'ispezione del traffico: link . Forse alcune cose sono cambiate nelle specifiche dal 2015?