AES 加密传输原理与开启方式

为什么投屏需要加密

无线投屏的内容在 Wi-Fi 上传输，理论上可以被同一网络内的任何设备捕获。传统投屏协议（Miracast、AirPlay）大多不加密传输内容，任何有无线网卡抓包能力的人都可以看到投屏画面。

这对企业来说是个严重的安全风险——PPT 里的商业机密、合同文档、产品原型图都可能被截获。

KShare AES 加密方案

端到端加密

KShare v1.7.0（2025 年 4 月）开始引入 AES-128-GCM 加密：

• 每一次投屏会话，发射端和接收端自动协商一个临时的 128 位对称密钥
• 投屏内容在发射端本地加密后通过 Wi-Fi 传输
• 只有接收端能解密看到原始画面
• 中继服务器（跨网络模式）也无法解密内容（只负责转发加密数据）

密钥协商

密钥协商过程使用 ECDH（椭圆曲线 Diffie-Hellman）：

1. 发射端和接收端各生成一对临时密钥
2. 交换公钥后，各自算出相同的会话密钥
3. 会话结束后密钥销毁，下次重新协商
4. 整个协商过程也经过签名验证，防止中间人攻击

GCM 模式的优势

AES-GCM 相比 AES-CBC 模式额外提供了：

• 完整性校验：数据被篡改会直接检测出来
• 重放防护：攻击者不能把旧的加密包重复发送
• 性能好：硬件加速支持，加密延迟几乎为 0

开启加密

加密功能默认在较新的 KShare 版本中自动开启，不需要手动配置。可以在：

• 接收端：KShare 设置 → 安全 → 查看当前会话加密状态
• 发射端（桌面端）：托盘图标 → 查看连接详情 → 加密状态

如果接收端或发射端版本较老（< 1.7.0），加密功能不可用。建议更新到最新版本。

加密对性能的影响

AES-128-GCM 是现代硬件的"基础能力"：

• 现代 CPU（Intel / AMD / Apple M 系列）都有 AES 硬件加速指令
• 加密和解密操作在 CPU 上占用 < 5%
• 实际使用中感知不到延迟或画质损失

为什么不是所有投屏都能加密

系统原生的 Miracast 和 AirPlay 协议设计时没有考虑强加密需求。KShare 自建协议的好处之一就是可以在协议层面安全地引入加密，而不需要和成千上万的硬件厂商做兼容性谈判。