使用NaCL EC25519的Go加密管道工具：naclpipe

NaCL (Networking and Cryptography Library) 是一个现代加密库，提供了简单易用的加密原语。在Go中，我们可以使用golang.org/x/crypto/nacl包来实现基于EC25519的加密管道。下面我将介绍如何创建一个简单的加密管道工具库。

基本概念

NaCL的EC25519提供了：

• 密钥对生成
• 非对称加密/解密
• 数字签名
• 密钥交换

实现代码

package naclpipe

import (
	"crypto/rand"
	"errors"
	"io"
	"golang.org/x/crypto/nacl/box"
	"golang.org/x/crypto/nacl/secretbox"
)

// 生成新的密钥对
func GenerateKeyPair() (publicKey, privateKey *[32]byte, err error) {
	publicKey, privateKey, err = box.GenerateKey(rand.Reader)
	return
}

// 加密管道结构体
type EncryptedPipe struct {
	sharedKey *[32]byte
}

// 创建新的加密管道
func NewEncryptedPipe(ourPrivateKey, theirPublicKey *[32]byte) *EncryptedPipe {
	var sharedKey [32]byte
	box.Precompute(&sharedKey, theirPublicKey, ourPrivateKey)
	return &EncryptedPipe{sharedKey: &sharedKey}
}

// 加密数据
func (p *EncryptedPipe) Encrypt(plaintext []byte) ([]byte, error) {
	var nonce [24]byte
	if _, err := io.ReadFull(rand.Reader, nonce[:]); err != nil {
		return nil, err
	}

	encrypted := secretbox.Seal(nonce[:], plaintext, &nonce, p.sharedKey)
	return encrypted, nil
}

// 解密数据
func (p *EncryptedPipe) Decrypt(ciphertext []byte) ([]byte, error) {
	if len(ciphertext) < 24 {
		return nil, errors.New("ciphertext too short")
	}

	var nonce [24]byte
	copy(nonce[:], ciphertext[:24])
	decrypted, ok := secretbox.Open(nil, ciphertext[24:], &nonce, p.sharedKey)
	if !ok {
		return nil, errors.New("decryption error")
	}

	return decrypted, nil
}

// 创建加密的读写管道
func NewEncryptedReadWriter(rw io.ReadWriter, pipe *EncryptedPipe) *EncryptedReadWriter {
	return &EncryptedReadWriter{
		rw:   rw,
		pipe: pipe,
	}
}

type EncryptedReadWriter struct {
	rw   io.ReadWriter
	pipe *EncryptedPipe
}

func (erw *EncryptedReadWriter) Read(p []byte) (n int, err error) {
	// 先读取加密数据
	ciphertext := make([]byte, 1024) // 适当大小
	n, err = erw.rw.Read(ciphertext)
	if err != nil {
		return 0, err
	}

	// 解密数据
	plaintext, err := erw.pipe.Decrypt(ciphertext[:n])
	if err != nil {
		return 0, err
	}

	copy(p, plaintext)
	return len(plaintext), nil
}

func (erw *EncryptedReadWriter) Write(p []byte) (n int, err error) {
	// 加密数据
	ciphertext, err := erw.pipe.Encrypt(p)
	if err != nil {
		return 0, err
	}

	// 写入加密数据
	return erw.rw.Write(ciphertext)
}

使用示例

package main

import (
	"fmt"
	"naclpipe" // 假设上面的代码在naclpipe包中
)

func main() {
	// 生成双方的密钥对
	alicePublic, alicePrivate, _ := naclpipe.GenerateKeyPair()
	bobPublic, bobPrivate, _ := naclpipe.GenerateKeyPair()

	// 创建加密管道
	alicePipe := naclpipe.NewEncryptedPipe(alicePrivate, bobPublic)
	bobPipe := naclpipe.NewEncryptedPipe(bobPrivate, alicePublic)

	// 测试加密解密
	message := []byte("Hello, secure world!")

	// Alice加密消息
	encrypted, _ := alicePipe.Encrypt(message)
	fmt.Printf("Encrypted: %x\n", encrypted)

	// Bob解密消息
	decrypted, _ := bobPipe.Decrypt(encrypted)
	fmt.Printf("Decrypted: %s\n", decrypted)

	// 也可以创建加密的读写器用于网络通信等场景
	// pr, pw := io.Pipe()
	// aliceRW := naclpipe.NewEncryptedReadWriter(pw, alicePipe)
	// bobRW := naclpipe.NewEncryptedReadWriter(pr, bobPipe)
	// 然后就可以像普通io.ReadWriter一样使用了
}

注意事项

1. Nonce管理：上面的实现每次加密都生成新的nonce，确保安全性。在实际应用中，必须确保nonce不会重复使用。

2. 密钥安全：私钥必须严格保密，公钥可以安全地共享。

3. 消息认证：NaCL的secretbox已经提供了消息认证，确保数据完整性和真实性。

4. 性能考虑：对于大量数据，可以考虑使用流式加密而非每次加密整个消息。

这个简单的库提供了基于NaCL EC25519的基本加密管道功能，可以用于安全通信、文件加密等场景。根据具体需求，可以进一步扩展功能。