Web 聊天室消息加解密方案详解

优劣分析

• 优点：性能优异（纯软件可达 GB/s），兼容性好（现代浏览器均支持），带宽占用低。
• 缺点：密钥分发困难，缺乏身份认证，无前向安全性（密钥泄露即全量曝光）。

方案二：非对称加密（RSA-2048 / ECC secp256r1）

原理概述

使用密钥对（公钥加密，私钥解密）。ECC 在同等安全性下密钥更短，性能优于 RSA，更适合 Web 场景。

实现要点

1. 单聊：双方交换公钥，发送方用接收方公钥加密临时会话密钥或直接加密消息。
2. 群聊：直接加密会导致 N 个成员需加密 N 次，性能极差，建议结合对称加密使用。

代码实现（前端 libsodium）

import sodium from "libsodium-wrappers";
await sodium.ready;

// 生成 ECC 密钥对
function generateEccKeyPair() {
  const keyPair = sodium.crypto_box_keypair();
  return {
    privateKey: sodium.to_base64(keyPair.privateKey),
    publicKey: sodium.to_base64(keyPair.publicKey)
  };
}

// ECC 加密
function eccEncrypt(plaintext, receiverPkBase64, senderSkBase64) {
  const receiverPk = sodium.from_base64(receiverPkBase64);
  const senderSk = sodium.from_base64(senderSkBase64);
  const nonce = sodium.randombytes_buf(sodium.crypto_box_NONCEBYTES);
  const ciphertext = sodium.crypto_box_easy(
    sodium.encode_utf8(plaintext),
    nonce,
    receiverPk,
    senderSk
  );
  const combined = sodium.concat([nonce, ciphertext]);
  return sodium.to_base64(combined);
}

// ECC 解密
function eccDecrypt(encryptedBase64, senderPkBase64, receiverSkBase64) {
  const senderPk = sodium.from_base64(senderPkBase64);
  const receiverSk = sodium.from_base64(receiverSkBase64);
  const combined = sodium.from_base64(encryptedBase64);
  const nonce = combined.slice(0, sodium.crypto_box_NONCEBYTES);
  const ciphertext = combined.slice(sodium.crypto_box_NONCEBYTES);
  
  try {
    const plaintext = sodium.crypto_box_open_easy(
      ciphertext, nonce, senderPk, receiverSk
    );
    return sodium.decode_utf8(plaintext);
  } catch (err) {
    throw new Error("解密失败：密钥错误或密文篡改");
  }
}

优劣分析

• 优点：密钥分发安全，支持身份认证，具备前向安全性。
• 缺点：性能较差（约为 AES 的 1/10），消息长度受限，群聊扩展性差。

方案三：混合加密（AES-256-GCM + ECC secp256r1）

原理概述

结合对称加密的高性能与非对称加密的密钥分发优势。类似 TLS 协议，用 ECC 协商 AES 密钥，再用 AES 加密消息。这是目前 Web 聊天室的最优解之一。

实现步骤

1. 密钥协商（ECDH）：双方生成临时密钥对，通过 ECDH 派生共享密钥，再拉伸为 AES-256 密钥。
2. 消息传输：使用派生的 AES 密钥加密消息，每次会话更新密钥以保证前向安全性。
3. 群聊优化：发送方生成临时 AES 群密钥，用每个成员的公钥加密该密钥后分发。

代码实现（ECDH 密钥协商）

// 生成 ECC 长期密钥对
async function generateLongEccKeyPair() {
  const keyPair = await crypto.subtle.generateKey(
    { name: "ECDH", namedCurve: "P-256" },
    true,
    ["deriveKey"]
  );
  const publicKeyRaw = await crypto.subtle.exportKey("spki", keyPair.publicKey);
  const publicKeyBase64 = btoa(String.fromCharCode(...new Uint8Array(publicKeyRaw)));
  return {
    privateKey: keyPair.privateKey,
    publicKey: publicKeyBase64
  };
}

// ECDH 派生 AES 密钥
async function deriveAesKey(localPrivateKey, peerPublicKeyBase64) {
  const peerPublicKeyRaw = new Uint8Array(
    atob(peerPublicKeyBase64).split("").map(c => c.charCodeAt(0))
  );
  const peerPublicKey = await crypto.subtle.importKey(
    "spki", peerPublicKeyRaw,
    { name: "ECDH", namedCurve: "P-256" },
    false,
    []
  );
  const sharedSecret = await crypto.subtle.deriveKey(
    { name: "ECDH", public: peerPublicKey },
    localPrivateKey,
    { name: "AES-GCM", length: 256 },
    false,
    ["encrypt", "decrypt"]
  );
  return sharedSecret;
}

优劣分析

• 优点：性能均衡，安全性强（兼顾机密性与前向安全性），扩展性好。
• 缺点：实现复杂度高，旧浏览器兼容性差（IE11 不支持 ECDH），私钥存储风险需防范 XSS。

方案四：端到端加密（Signal Protocol）

原理概述

Signal Protocol 被 WhatsApp、Signal 等采用，提供顶级安全性。核心包括双棘轮算法、预密钥机制及 Sender Key 群聊方案。

实现步骤

1. 初始化：生成身份密钥、签名密钥及一批预密钥上传服务器。
2. 会话建立：获取对方预密钥，生成临时密钥对，派生初始会话密钥。
3. 持续更新：每发送消息更新发送密钥，定期更新预密钥，确保前向安全性。

代码实现（libsignal-protocol-javascript）

import * as signal from "libsignal-protocol-javascript";

class SignalStore {
  constructor() {
    this.identityKeyPair = null;
    this.preKeys = new Map();
    this.signedPreKey = null;
    this.sessions = new Map();
  }
  // ... 省略存储方法 ...
}

// 注册信号用户
async function registerSignalUser(userId) {
  const store = new SignalStore();
  const keyHelper = signal.KeyHelper;
  const identityKeyPair = await keyHelper.generateIdentityKeyPair();
  store.putIdentityKeyPair(identityKeyPair);
  
  const signedPreKey = await keyHelper.generateSignedPreKey(
    identityKeyPair, Math.floor(Date.now() / 1000)
  );
  store.signedPreKey = signedPreKey;
  
  for (let i = 0; i < 100; i++) {
    const preKey = await keyHelper.generatePreKey(i);
    store.storePreKey(preKey.keyId, preKey);
  }
  
  // 上传公钥到服务器
  await axios.post("/api/signal/register", {
    userId,
    identityPublicKey: Buffer.from(identityKeyPair.pubKey).toString("base64"),
    signedPreKey: {
      keyId: signedPreKey.keyId,
      publicKey: Buffer.from(signedPreKey.pubKey).toString("base64"),
      signature: Buffer.from(signedPreKey.signature).toString("base64")
    },
    preKeys: Array.from(store.preKeys.entries()).map(([id, pk]) => ({
      keyId: id,
      publicKey: Buffer.from(pk.pubKey).toString("base64")
    }))
  });
  return store;
}

优劣分析

• 优点：安全性顶级，成熟稳定，抗离线攻击，密钥管理自动化。
• 缺点：实现复杂度极高，学习成本高，前端库体积大（约 500KB），调试困难。

方案五：轻量级加密（ChaCha20-Poly1305）

原理概述

Google 设计的流密码组合，无需 AES 硬件加速即可达到高性能，适合低性能设备（如旧手机 WebView）。

代码实现（libsodium）

import sodium from "libsodium-wrappers";
await sodium.ready;

// 生成 ChaCha20 密钥
function generateChaChaKey() {
  return sodium.to_base64(sodium.randombytes_buf(sodium.crypto_aead_chacha20poly1305_ietf_KEYBYTES));
}

// 加密
function chachaEncrypt(plaintext, keyBase64, additionalData) {
  const key = sodium.from_base64(keyBase64);
  const nonce = sodium.randombytes_buf(sodium.crypto_aead_chacha20poly1305_ietf_NPUBBYTES);
  const ad = sodium.encode_utf8(additionalData || "");
  const ciphertext = sodium.crypto_aead_chacha20poly1305_ietf_encrypt(
    sodium.encode_utf8(plaintext), ad, null, nonce, key
  );
  const combined = sodium.concat([nonce, ciphertext]);
  return sodium.to_base64(combined);
}

// 解密
function chachaDecrypt(encryptedBase64, keyBase64, additionalData) {
  const key = sodium.from_base64(keyBase64);
  const combined = sodium.from_base64(encryptedBase64);
  const nonce = combined.slice(0, sodium.crypto_aead_chacha20poly1305_ietf_NPUBBYTES);
  const ciphertext = combined.slice(sodium.crypto_aead_chacha20poly1305_ietf_NPUBBYTES);
  const ad = sodium.encode_utf8(additionalData || "");
  
  try {
    const plaintext = sodium.crypto_aead_chacha20poly1305_ietf_decrypt(
      null, ciphertext, ad, nonce, key
    );
    return sodium.decode_utf8(plaintext);
  } catch (err) {
    throw new Error("解密失败：标签不匹配");
  }
}

优劣分析