在金融行业等对用户隐私数据要求较高的行业场景中，往往需要额外采用媒体流加密方式保障用户数据在网络传输过程中的安全性、保障用户的信息安全和数据安全。网易云信在默认加密算法的基础上，提供了内置国密加密和自定义加密方案，进一步保障数据安全。

功能介绍

媒体流加密指在音视频流传输过程中对音视频数据进行加密，网易云信提供以下两种加密方式。

• 内置国密加密：使用 NERTC SDK 预置的国密加密模式给媒体流加密。
• 自定义加密：通过 NERTC SDK 提供的数据包观测器来自定义媒体流的加密模式。网易云信服务器可以对自定义加密后的媒体流进行传输，加解密均在客户端完成。

注意事项

• 您只可选择 SDK 内置的国密加密算法或自定义加密算法，两种加密算法不可同时使用，否则会报错 ENGINE_ERROR_INVALID_STATE（30005）。
• 同一房间内，所有调用 enableEncrytion 方法开启媒体流加密的用户必须使用相同的加密模式、密钥等，否则加入房间时会报错 kNERtcErrEncryptNotSuitable（30113）。

内置加密的注意事项：

• 安全起见，若您选择 SDK 内置加密算法，建议每次启用媒体流加密时都更换新的密钥。

自定义加密的注意事项：

• 由于自定义媒体流加密对设备性能要求较高，建议您准备好以下开发环境：

  • 可支持的 iOS 设备必须配有 A9 及以上的芯片。
  • 苹果系统版本要求 iOS 9.0 及以上。

• 密钥等参数均由您自己的服务器进行分发。

• 若您选择自定义加密，请在创建房间前注册自定义加密对象，该房间的属性为“自定义加密房间”。后续用户必须也启用自定义加密才可成功加入，否则加入房间时会报错 kNERtcErrEncryptNotSuitable（30113）。

• 加入“自定义加密房间”的双方若使用了不同的自定义加密算法，会强行进行加解密，会导致视频画面绿屏，音频机械音。

• 若要在某个 RTC 音视频通话房间中启用自定义加密，则必须保证加入房间的用户，使用 v4.6.53 及以上版本的 SDK（V5.3 版本不支持），且仅限 iOS、Android、Windows、macOS 和 Web 五个端，不支持小程序、Sip、Linux等其他平台客户端加入“自定义加密房间”。

• 使用了自定义加密的 RTC 音视频通话房间，不支持使用云端录制、云端播放、旁路推流等媒体服务，不支持安全通服务，不支持服务端本地录制服务。

开通媒体流加密

1. 登录网易云信控制台。

2. 在首页单击指定应用名称。

3. 在产品总览区域，单击音视频通话 2.0 产品选项卡中的功能配置。

   

4. 单击高级功能页签，单击 音视频媒体流加密 的开关按钮，开启媒体流加密。

   

5. 单击确定。

内置加密

功能原理

启用内置国密加密的实现步骤：

1. 您的服务端生成密钥和盐并加密传输给客户端。
2. 用户 A 采集音视频流之后，通过 enableEncryption 启用加密并传入加密模式和密钥，SDK 会用您选择的加密算法对音视频流进行加密，并将加密后的音视频流传输到网易云信音视频服务。
3. 网易云信音视频服务中转加密的音视频流。
4. 用户 B 收到音视频流之后，通过 enableEncryption 传入相同的加密模式和密钥，SDK 会使用同样的加密算法和密钥对媒体流解密，并解码与渲染。

配置步骤

1. 在您的服务端生成密钥。参考以下命令通过 OpenSSL 随机生成 String 型、16 字节的密钥。

// 随机生成一个 string 型、16 字节的密钥，并将该密钥传入 enableEncryption 的 config 参数。
openssl rand -hex 16
dba643c8ba6b6dc738df43d9fd624293b4b12d87a60f518253bd10ba98c48453

2. 客户端从服务端获取 String 型密钥，并在加入房间前调用 enableEncryption 方法开启媒体流加密功能，设置媒体加密模式为 NERtcEncryptionModeGMCryptoSM4ECB，并在 config 的 key 参数中传入密钥。

• 加密模式目前仅支持国密 SM4 对称加密算法。
• 密钥由服务端生成，格式为 String 类型的字符串。

示例代码

  NSString *encryptKey = @"Your encrypt key";
  NERtcEncryptionConfig *config = [[NERtcEncryptionConfig alloc]init];
  config.mode = NERtcEncryptionModeGMCryptoSM4ECB;
  config.key = encryptKey;
   
  [[NERtcEngine sharedEngine] enableEncryption:encryptEnabled config:config];

自定义加密

功能原理

启用自定义加密的实现步骤：

1. 您的服务端生成密钥并加密传输给客户端。
2. 用户 A 采集音视频流之后，借助返回的音视频数据的缓存地址等信息启用自定义加密，SDK 会将加密后的音视频流传输到网易云信音视频服务。
3. 网易云信音视频服务中转加密的音视频流。
4. 用户 B 收到音视频流之后，借助返回的音视频数据的缓存地址等信息启用自定义解密，选择和用户 A 相同的加密算法对媒体流解密，SDK 会将解密后的媒体流进行解码与渲染。

配置步骤

用户 A 采集音视频流之后，通过 enableEncryption 方法，并注册 NERtcPacketObserver 监听自定义加密回调，实现自定义加密功能。参考步骤如下：

1. 遵循 NERtcEnginePacketObserver 协议实现 NERtcPacketObserver 自定义加密观察对象类，帮助您通过回调的音视频包相关参数进行自定义加密处理。
2. 在初始化后加入房间前，调用 enableEncryption 开启媒体流加密功能，设置媒体加密模式为 NERtcEncryptionModeCustom ， 在 observer 参数中传入第一步中实现的观察对象，注册数据包观测器，监听数据包采集回调。
3. 加入房间后通过 onSendAudioPacket 和 onSendVideoPacket 回调的 packet 参数进行自定义加密，或通过 onReceiveAudioPacket和onReceiveVideoPacket回调的 packet 参数进行自定义解密。
4. 若您想取消自定义加密，请在离开房间后调用 enableEncryption 方法，指定config中 mode为NERtcEncryptionModeCustom， 并将 enable参数设置为 false。。

示例代码

//step1：初始化引擎。
[[NERtcEngine sharedEngine] setupEngineWithContext:context];
 
//step2:准备如下自定义加解密类，需要遵循NERtcEnginePacketObserver协议。
@interface NTESDemoCustomEncryptObserver : NSObject<NERtcEnginePacketObserver>
@end
@implementation NTESDemoCustomEncryptObserver

//发送音频包回调
- (BOOL)onSendAudioPacket:(NERtcPacket *)packet {
    //TODO 自定义加密处理
    return YES;//是否保留该包，YES为保留，NO为丢弃
}
//发送视频包回调
- (BOOL)onSendVideoPacket:(NERtcPacket *)packet {
    //TODO 自定义加密处理
    return YES;//是否保留该包，YES为保留，NO为丢弃
}
//接收音频包回调
- (BOOL)onReceiveAudioPacket:(NERtcPacket *)packet {
    //TODO 自定义解密处理
    return YES;//是否保留该包，YES为保留，NO为丢弃
}
//接收视频包回调
- (BOOL)onReceiveVideoPacket:(NERtcPacket *)packet {
    //TODO 自定义解密处理
    return YES;//是否保留该包，YES为保留，NO为丢弃
}
@end

//step3：打开自定义加密。
self.customEncryptObserver = [[NTESDemoCustomEncryptObserver alloc] init];

NERtcEncryptionConfig *config = [[NERtcEncryptionConfig alloc]init];
config.mode = NERtcEncryptionModeCustom;
config.observer = self.customEncryptObserver;

//打开自定义加密
[[NERtcEngine sharedEngine] enableEncryption:YES config:config];


//step4：加入rtc房间，开始音视频业务。
 [[NERtcEngine sharedEngine] joinChannelWithToken:token channelName:channelName myUid:myUid completion:^(NSError * _Nullable error, uint64_t channelId, uint64_t elapesd, uint64_t uid) {
            
    }];