通过HTTP而非HTTPS向Amazon S3上传文件是否存在安全风险？

安全风险结论 #

直接使用HTTP向Amazon S3上传文件存在极高安全风险，绝对不建议你采用该方案，具体风险如下：

• 凭据与数据泄露：HTTP为明文传输协议，你上传过程中使用的S3访问密钥、签名信息、文件完整内容都会被传输链路中的所有中间节点（包括你提到的公司代理）直接截获。攻击者拿到S3密钥后可以完全控制对应存储桶，进行数据窃取、文件删除、恶意内容上传等操作，由此产生的所有损失均由你或所属企业承担。
• 传输内容被篡改：HTTP没有传输完整性校验机制，中间节点可以在你无感知的情况下篡改上传的文件内容，最终存入S3的文件可能和本地原始文件存在差异，会引发后续的业务故障、恶意代码执行等风险。
• 合规风险：如果你上传的文件包含用户个人信息、企业机密数据，使用HTTP传输违反网络安全等级保护、GDPR等各类数据安全合规要求，一旦被审计发现会面临对应的处罚。

针对HTTPS速度慢的优化方案 #

你遇到的HTTPS速度仅为HTTP三分之一的问题，确实大概率是公司代理对HTTPS流量做SSL/TLS解密审计导致的，可以尝试以下方案解决，不需要切换到HTTP也能提升上传速度：

• 跳过代理上传：如果S3 endpoint支持公网直连或者内网访问，可以在curl命令中添加--noproxy <你的S3访问域名>参数，强制不走公司代理传输，HTTPS传输速度会恢复到正常水平。
• 优化TLS协议版本：在curl命令中添加--tls1.3参数强制使用TLS 1.3协议传输，相比TLS 1.2及更早版本，握手耗时缩短至少50%，能有效提升传输速度。
• 启用分段上传：如果上传的是大文件，你可以通过curl调用S3的分段上传接口，并行传输文件分片，即使走公司代理也能大幅提升整体上传效率。

内容的提问来源于stack exchange，提问作者shfshfdl