加密应用私钥安全存储方案及Telegram等产品实现方式咨询

行业通用主流解决方案 #

• 硬件级本地安全存储
  这是目前端侧私钥存储的首选方案，依赖设备原生的安全能力实现：iOS端调用系统Keychain接口搭配Secure Enclave安全元件，安卓端调用系统Keystore接口，私钥的生成、解密、签名运算全程在安全元件内部完成，明文私钥永远不会暴露给应用进程和系统普通内存区域。即便设备被Root/越狱、应用被恶意程序入侵，只要安全元件没有被破解，私钥就不会被窃取。Web端场景可通过Web Crypto API实现私钥的加密存储，配合硬件安全密钥可进一步提升安全等级。
• 加密分片云端备份
  为解决本地存储私钥容易因设备损坏、应用卸载丢失的问题，行业普遍采用加密后再上云的方案：要么使用用户设置的强密码通过KDF算法派生加密密钥，将私钥加密为密文后上传服务端，服务端仅存储密文，没有用户密码无法解密还原私钥；要么采用Shamir秘密共享算法将私钥拆分为多个分片，加密后分散存储在不同的可信节点，恢复私钥需要凑够阈值数量的分片才能完成，避免单点泄露风险。
• 长短密钥分离机制
  长期私钥仅用于身份认证、临时会话密钥协商，不直接参与业务数据的加密解密，每次会话生成独立的临时会话密钥，会话结束后直接销毁。即便临时会话密钥泄露，也不会影响长期私钥的安全，也不会泄露其他会话的内容。

Telegram的私钥存储实现 #

Telegram的私钥存储逻辑根据聊天类型做了区分：

• 普通非端到端加密聊天：相关加密密钥由Telegram服务端加密存储，用于支持多设备消息同步，这部分密钥不会对外公开，服务端有对应解密能力。
• 端到端加密的「秘密聊天」：对应的私钥仅存储在参与聊天的双方设备本地，不会上传到Telegram的任何服务器，存储时直接调用设备原生的安全存储接口（iOS Keychain、安卓Keystore），且秘密聊天使用临时会话密钥，不支持云端备份和多设备同步，更换设备登录后无法查看旧设备上的秘密聊天记录。如果用户开启了账户两步验证，关联的账户加密密钥会使用用户设置的验证密码派生的密钥加密后存储，服务端无法获取明文私钥。

内容的提问来源于stack exchange，提问作者brunopava