https秘钥交换

Question

看了https流程，有个疑问，为什么https需要选择使用ecdh这类秘钥交换？

简单一点：

1. 客户端随机生成AES秘钥AESKey，请求数据的hash值sign
2. 使用公钥将 AESKey+sign 进行加密，同时使用 AESkey对请求数据进行加密
3. 最终发送给服务端的数据包含，pub.pem.encrypt(AESKey + sign), AES(data)
4. 服务端使用私钥将 AESKey + sign 解密，再解密data
5. 服务端将返回的数据加密 AES(response + responseSign)，客户端根据秘钥解密。

不考虑中间人问题，这个过程应该是安全的，那么为什么还需要ecdh这类秘钥交换？
假设自己实现一个加密过程，公钥是内置于客户端，那么也可以防止中间人？

Answer 1

问题一：非对称加密是安全的，但是效率太低，所以才要生成只有客户端和服务端都知道的密钥，然后进行对称加密。

问题二：服务端的公钥假如能内置于客户端，能防止中间人攻击。因为中间人攻击就是发生在这个获取的过程，既然都不用获取，也就没有攻击一说。