HTTPS服务器向浏览器回传数据的加密方式及AWS相关技术疑问

先澄清一个误解 #

你提到的 Route53 是 AWS 的域名解析服务，它根本不负责 HTTPS 的加密解密工作。实际帮你处理 SSL/TLS 握手、加密解密的是 AWS 的弹性负载均衡（ELB）或者CloudFront CDN这类服务——这些服务会配置你的 SSL 证书，和浏览器完成加密交互后，再以明文（或内部加密通道）的方式把请求转发给你的 EC2 实例，所以你的 EC2 里完全不需要写加解密代码。

网站回传数据的加密逻辑 #

HTTPS 的核心是「非对称加密交换密钥，对称加密传输数据」，流程是这样的：

• 浏览器发起 HTTPS 请求后，先和负责 SSL 处理的服务（ELB/CloudFront）完成 TLS 握手：
  1. 对方会发送带公钥的 SSL 证书给浏览器，浏览器验证证书的合法性
  2. 浏览器生成一个随机的对称加密密钥，用对方的公钥加密后发送过去
  3. 对方用私钥解密得到这个对称密钥
• 从这之后，不管是浏览器发请求还是网站回传数据，全都是用这个对称密钥加密的——对称加密速度快，适合大量数据传输，非对称加密只用来完成密钥交换这一步。

首次访问的加密状态 #

首次访问全程没有“无加密”的阶段：

• 一开始发送 SSL 证书的步骤是明文，但证书本身由权威 CA 签名，浏览器能验证它的真实性，不会被篡改
• 浏览器发送对称密钥时是用公钥加密的，只有持有对应私钥的服务能解密，其他人截获了也没用
• 后续所有数据（包括网站回传的内容）都是用对称密钥加密的，全程安全

内容的提问来源于stack exchange，提问作者user3456978