Flutter加密即时通讯应用开发：RSA+AES混合加密跨设备同步方案咨询

首先你当前设想的「将每个聊天室AES密钥用成员公钥单独加密后存储在服务端」的方案本身具备足够安全性：服务端仅能获取到AES密钥的密文，没有对应成员的RSA私钥无法解密，不存在密钥泄露风险，且单份RSA加密后的AES密钥仅几百字节，即使是千人群的存储开销也完全可以忽略。

针对多设备同步的需求，可按以下逻辑调整实现：

• 保留原有助记词派生RSA密钥对的逻辑，用户新设备登录时通过助记词恢复出自己的RSA私钥，私钥存储优先使用系统原生可信存储（安卓KeyStore、iOSKeychain），禁止明文存储在应用沙箱
• 单聊/群聊创建时，生成唯一的AES-256-GCM密钥作为当前聊天室的会话密钥，不要使用ECB等不安全的AES模式
• 针对聊天室所有成员，用每个成员的RSA公钥分别加密会话密钥，生成对应每个成员的密钥密文，将密文和聊天室ID、成员ID绑定存储在服务端
• 新设备登录完成私钥恢复后，主动拉取当前账号关联的所有聊天室的密钥密文，用本地恢复的RSA私钥解密即可拿到所有聊天室的会话密钥，直接完成历史消息的解密同步

额外安全优化建议：

• 群聊发生成员增减时，直接轮换当前聊天室的AES会话密钥，新密钥重新给所有当前在群成员加密后更新服务端存储，避免被移除的成员仍能查看后续群消息
• 注意：RSA加密请使用OAEP填充模式，不要使用老旧的PKCS#1 v1.5填充，避免被Padding Oracle攻击
• 如果需要更高的安全等级（比如前向保密、破后不认），可以直接适配Signal协议的双棘轮机制，原生支持多设备同步逻辑，但实现复杂度会高于上述方案

内容的提问来源于stack exchange，提问作者TJ Campanella