第3章对称加密基础

第3章：对称加密基础：AES算法原理、密钥生成与管理、ECB/CBC/GCM模式对比、Python实现模型文件加密

各位同学，欢迎来到模型加密的第一道硬菜。

说实话，在AI安全这个领域摸爬滚打这么多年，我见过太多团队把精力全花在模型精度上，最后部署时随便拿个zip一压缩就上线了。结果呢？模型被扒、参数被盗，辛辛苦苦训练几个月的成果，别人几分钟就复制走了。

所以这一章，咱们得把加密这件事儿彻底搞明白。先从最经典的对称加密——AES开始。

3.1 AES算法原理：它到底在干什么？

AES，全称Advanced Encryption Standard，高级加密标准。说白了，它就是一套把数据打乱、替换、再打乱的流程。你想想看，加密就像做菜——把原材料（明文）经过切、炒、炖（加密操作），最后变成一道完全看不出原样的菜（密文）。

AES的核心操作就四个：

SubBytes（字节替换）：每个字节通过一个固定的S盒替换成另一个值。这个S盒是设计好的非线性映射，能抵抗线性攻击。
ShiftRows（行移位）：把状态矩阵的每一行向左循环移位。第一行不动，第二行移1位，第三行移2位，第四行移3位。目的是让列之间产生关联。
MixColumns（列混合）：对每一列进行矩阵乘法，相当于把信息扩散到整个列。这一步是AES安全性的关键。
AddRoundKey（轮密钥加）：把当前状态和本轮的子密钥做异或操作。简单粗暴，但非常有效。

我刚开始学AES时，总觉得这些操作很玄乎。后来自己动手实现了一遍，才发现其实每一步都很直观。你想想看，加密就是反复做这四件事，做10轮（128位密钥）、12轮（192位）或14轮（256位）。

关键点：AES的轮数取决于密钥长度。128位密钥做10轮，192位做12轮，256位做14轮。轮数越多，安全性越高，但速度也越慢。

3.2 密钥生成与管理：别让你的钥匙丢了

密钥管理，说真的，比加密算法本身还重要。我见过有人把AES密钥硬编码在Python脚本里，然后上传到GitHub——这不是把家门钥匙挂在门口吗？

AES的密钥生成分两步：

主密钥：你提供的原始密钥，长度必须是16、24或32字节（对应128、192、256位）。
轮密钥扩展：通过密钥扩展算法，从主密钥生成10/12/14个轮密钥。每个轮密钥都是128位。

密钥扩展的流程是这样的：

先把主密钥按4字节一组分成若干组
然后通过循环移位、S盒替换、轮常量异或等操作，生成后续的轮密钥
每个轮密钥都是前一个轮密钥的某种变换

我个人习惯用os.urandom()生成随机密钥，而不是自己拍脑袋想一个。你想想看，人脑生成的密钥往往有规律，容易被暴力破解。

避坑指南：我曾经把密钥直接写在配置文件里，结果测试环境和生产环境共用一套密钥。后来生产环境的模型被反编译，密钥直接暴露。从那以后，我坚持用环境变量或密钥管理服务（如AWS KMS、HashiCorp Vault）来存储密钥。

3.3 ECB/CBC/GCM模式对比：选对模式很重要

AES本身只加密128位的数据块。如果你的数据超过128位，就需要分块加密。不同的分块方式，就是不同的工作模式。

模式	特点	安全性	适用场景
ECB	每个块独立加密，简单快速	低（相同明文块产生相同密文块）	几乎不推荐
CBC	每个块与前一个密文块异或后再加密	中（需要IV，不能并行）	文件加密、传统应用
GCM	结合CTR模式和GMAC认证	高（提供加密+认证）	网络传输、模型加密

ECB模式：说白了就是最原始的分块方式。每个块独立加密，互不影响。但问题来了——如果两个明文块相同，密文块也相同。这在加密图片时特别明显，你能从密文里看出原图的轮廓。我建议你永远不要在生产环境用ECB。

CBC模式：每个块加密前，先和前一个块的密文做异或。这样即使明文块相同，密文块也不同。但CBC有个缺点——不能并行加密，因为每个块依赖前一个块。另外，IV（初始化向量）必须是随机的，而且每次加密都要换。

GCM模式：这是我现在最常用的模式。它把CTR模式的并行优势和GMAC的消息认证结合到一起。加密的同时还能验证数据有没有被篡改。你想想看，如果有人偷偷改了你的模型文件，GCM能立刻发现。

注意：GCM模式对nonce（随机数）的使用有严格要求。同一个密钥下，绝对不能重复使用同一个nonce。否则，攻击者可以恢复出密钥流，整个加密就形同虚设。我曾经在测试时犯过这个错，还好及时发现。

3.4 Python实现模型文件加密

好了，理论讲完了，咱们直接上代码。下面是我在实际项目中用的模型加密方案——使用AES-GCM模式。

import os
import json
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def generate_key():
    """生成256位AES密钥"""
    return AESGCM.generate_key(bit_length=256)

def encrypt_model_file(model_path, key, output_path=None):
    """
    加密模型文件
    :param model_path: 原始模型文件路径
    :param key: 32字节密钥
    :param output_path: 加密后文件路径（可选）
    :return: 加密后的文件路径
    """
    if output_path is None:
        output_path = model_path + '.enc'
    
    # 读取模型文件
    with open(model_path, 'rb') as f:
        plaintext = f.read()
    
    # 生成随机nonce（12字节）
    nonce = os.urandom(12)
    
    # 创建AESGCM对象
    aesgcm = AESGCM(key)
    
    # 加密（GCM模式自动附加认证标签）
    ciphertext = aesgcm.encrypt(nonce, plaintext, None)
    
    # 保存加密后的文件：nonce + 密文
    with open(output_path, 'wb') as f:
        f.write(nonce + ciphertext)
    
    print(f"模型已加密保存至: {output_path}")
    return output_path

def decrypt_model_file(encrypted_path, key, output_path=None):
    """
    解密模型文件
    :param encrypted_path: 加密文件路径
    :param key: 32字节密钥
    :param output_path: 解密后文件路径（可选）
    :return: 解密后的文件路径
    """
    if output_path is None:
        output_path = encrypted_path.replace('.enc', '.dec')
    
    # 读取加密文件
    with open(encrypted_path, 'rb') as f:
        data = f.read()
    
    # 提取nonce（前12字节）和密文
    nonce = data[:12]
    ciphertext = data[12:]
    
    # 创建AESGCM对象
    aesgcm = AESGCM(key)
    
    try:
        # 解密（GCM模式会自动验证完整性）
        plaintext = aesgcm.decrypt(nonce, ciphertext, None)
    except Exception as e:
        print(f"解密失败！密钥错误或文件被篡改: {e}")
        return None
    
    # 保存解密后的文件
    with open(output_path, 'wb') as f:
        f.write(plaintext)
    
    print(f"模型已解密保存至: {output_path}")
    return output_path

# 使用示例
if __name__ == "__main__":
    # 生成密钥
    key = generate_key()
    print(f"密钥（请妥善保管）: {key.hex()}")
    
    # 加密模型
    encrypt_model_file("model.pth", key)
    
    # 解密模型
    decrypt_model_file("model.pth.enc", key)

个人经验：我在项目中通常把密钥分成两部分存储——一部分在环境变量里，一部分在安全芯片或HSM里。解密时再组合起来。这样即使服务器被攻破，攻击者也拿不到完整的密钥。

这段代码有几个要点：

使用os.urandom(12)生成nonce，确保每次加密的nonce都不同
GCM模式自动附加16字节的认证标签，用于验证数据完整性
解密时如果密钥错误或文件被篡改，会直接抛出异常
加密后的文件格式是：nonce（12字节）+ 密文（含认证标签）

嗯，这里要注意一点——模型文件通常比较大（几百MB甚至GB级别）。上面的代码是一次性读入内存再加密，适合中小模型。对于超大模型，我建议分块加密，每块用不同的nonce，或者改用流式加密方案。

好了，这一章的内容就到这里。下一章咱们会讲非对称加密和数字签名，到时候你会看到如何用公钥加密、私钥解密，彻底解决密钥分发的问题。

公众号:蓝海资料掘金营，微信deep3321

📚 课程目录