Node.js端基于RSA的端到端加密文档分享应用实现方案咨询

核心流程设计 #

• 密钥本地生成与隔离：用户在客户端独立生成非对称密钥对（ECC优先，RSA备选），私钥仅加密存储在本地设备的安全区域（如移动端Keychain/KeyStore、浏览器加密存储），服务端仅存储用户公钥，全程无法触及私钥。
• 会话密钥安全协商：
  1. 发送方从服务端拉取接收方公钥，通过预内置的服务端根证书验证公钥签名，确认公钥归属（防中间人替换）。
  2. 生成一次性AES-256-GCM对称会话密钥和随机IV（IV必须唯一，不可复用）。
  3. 用接收方公钥加密会话密钥+IV，同时用会话密钥加密文件内容。
• 传输与解密流程：发送方将加密后的文件、加密的会话密钥包上传至服务端（服务端仅做存储转发，无权限解密任何内容）；接收方获取后，用本地私钥解密会话密钥包，再用会话密钥+IV解密文件。
• 前向保密增强：若支持实时通信，可采用X3DH协议协商会话密钥，即使后续私钥泄露，历史传输内容也无法被解密。

适用加密库与安全协议 #

对称加密（文件内容加密） #

• 首选算法：AES-256-GCM，自带完整性校验与认证，避免CBC模式的padding oracle攻击风险。
• 常用库：
  • 前端：Web Crypto API（浏览器原生，安全无依赖）、crypto-js（轻量JS实现）
  • 移动端：iOS CryptoKit、Android Jetpack Security
  • 桌面/后端：Python cryptography、Go crypto/aes、Java javax.crypto

非对称加密（密钥交换） #

• 首选算法：ECC（椭圆曲线加密，如secp256r1曲线），相同安全强度下密钥尺寸更小、性能更优，适合资源受限的客户端场景。
• 兼容备选：RSA-2048/4096，兼容性广但性能略差。
• 常用库：
  • 前端：Web Crypto API、forge（纯JS实现ECC/RSA）
  • 移动端：iOS Keychain Services、Android KeyStore（私钥存储于硬件安全模块，无法导出）
  • 桌面端：Windows Credential Manager、macOS Keychain、Python cryptography

进阶密钥交换协议 #

• X3DH：异步通信场景的最优选择，支持离线传输且提供前向保密，是Signal协议的核心组件。
• TLS 1.3：若客户端之间可直接建立连接，用TLS 1.3构建安全通道，但需注意服务端仅做转发时，仍需保留端到端加密逻辑避免服务端接触明文。

关键安全准则 #

• 所有加密/解密操作必须在客户端完成，服务端仅处理密文和公钥，绝对禁止服务端存储或接触私钥、明文会话密钥、明文文件。
• IV必须是加密安全的随机值（如用crypto.getRandomValues生成），每个加密会话使用唯一IV。
• 对加密后的文件和密钥包附加SHA-256哈希校验，接收方验证完整性，防止篡改。
• 定期轮换用户非对称密钥对，降低长期密钥泄露的影响范围。

内容的提问来源于stack exchange，提问作者Charles Devif