WebRTC场景下libsrtp处理VP8 RTP包的加密问题咨询

你的理解完全正确：RTP头部、VP8的Payload Descriptor（也就是RFC7741定义的VP8封装数据部分）都不需要加密，只有VP8的实际帧负载才是SRTP的加密对象。

为什么会出现当前的问题？ #

SRTP默认的srtp_protect函数会加密整个RTP负载（即RTP头部之后的所有数据），但对于VP8来说，RTP负载包含两部分：

VP8 Payload Descriptor + VP8 Frame Payload

其中VP8 Payload Descriptor是用来描述VP8帧的元数据（比如帧类型、PictureID、TL0PICIDX等），属于需要明文传输的控制信息——如果把这部分加密，接收端无法解析出VP8帧的基本信息，自然无法解码。

如何用libsrtp正确处理VP8 RTP包？ #

libsrtp提供了srtp_protect_with_offset函数（对应接收端的srtp_unprotect_with_offset），它允许你指定加密的起始偏移位置，这样就能只加密VP8 Frame Payload部分，保留前面的RTP头部和VP8 Payload Descriptor为明文。

具体步骤如下：

1. 计算RTP头部的实际长度：
   默认RTP头部是12字节，但如果RTP头部包含扩展字段（即RTP头的第2个字节的X位为1），则需要加上扩展头部的长度（扩展头部的前2字节表示长度，实际长度是(长度字段值 + 1) * 4）。
2. 解析VP8 Payload Descriptor的长度：
   VP8的Descriptor是可变长度的，需要根据字段位判断：
   • 第一个字节的I（bit7）、L（bit6）、T（bit5）、K（bit4）位决定了后续扩展字段是否存在：
     • L=1：存在PictureID，若I=1则是2字节，否则是1字节
     • T=1：存在TL0PICIDX，占1字节
     • K=1：存在Key Index，占2字节
       你需要根据这些位计算出Descriptor的总长度。
3. 计算加密起始偏移：
   偏移值 = RTP头部实际长度 + VP8 Payload Descriptor长度
4. 调用srtp_protect_with_offset加密：
   把偏移值传入函数，libsrtp就只会加密偏移之后的VP8帧负载部分。

代码示例 #

// 假设rtp_buf是完整的RTP包缓冲区，rtp_len是包的总长度
int rtp_hdr_len = 12; // 默认RTP头部长度

// 检查是否有RTP扩展头部
uint8_t* rtp_hdr = rtp_buf;
if ((rtp_hdr[0] & 0x10) != 0) { // X位为1，存在扩展头部
    uint16_t ext_len = ntohs(*(uint16_t*)(rtp_hdr + 12));
    rtp_hdr_len += (ext_len + 1) * 4;
}

// 解析VP8 Payload Descriptor长度
uint8_t* vp8_desc = rtp_buf + rtp_hdr_len;
int vp8_desc_len = 1; // 至少1字节的基础Descriptor

if (vp8_desc[0] & 0x40) { // L位为1，存在PictureID
    if (vp8_desc[0] & 0x80) { // I位为1，PictureID是2字节
        vp8_desc_len += 2;
    } else {
        vp8_desc_len += 1;
    }
}
if (vp8_desc[0] & 0x20) { // T位为1，存在TL0PICIDX
    vp8_desc_len += 1;
}
if (vp8_desc[0] & 0x10) { // K位为1，存在Key Index
    vp8_desc_len += 2;
}

// 计算加密起始偏移
int encrypt_offset = rtp_hdr_len + vp8_desc_len;

// 执行加密
int ret = srtp_protect_with_offset(srtp_session, rtp_buf, &rtp_len, encrypt_offset);
if (ret != 0) {
    // 处理加密错误，比如日志打印或错误回调
    fprintf(stderr, "SRTP protect failed with code: %d\n", ret);
}

注意事项 #

• 接收端需要对应使用srtp_unprotect_with_offset，传入相同的偏移值来解密，否则无法正确还原VP8帧。
• 一定要准确计算VP8 Payload Descriptor的长度，偏移错误会导致加密范围错误，进而引发解码失败或通话异常。
• 如果你的VP8 RTP包使用了分片（RFC7741定义的分片机制），这个逻辑同样适用——分片后的每个RTP包的Payload Descriptor都需要保留明文，只加密分片的帧数据部分。

内容的提问来源于stack exchange，提问作者Kamal Palei