┌─────────────────────────────────────┐
│  身份长期密钥 (ILK)                  │  ← 设备/账号绑定，Ed25519/X25519
│  • 签名密钥对：身份认证、信令签名    │
│  • 加密密钥对：密钥协商封装          │
├─────────────────────────────────────┤
│  会话主密钥 (SMK)                    │  ← 每次会议唯一，ECDH 派生
│  • 由发起方生成，经 ILK 加密分发     │
│  • 仅存在于参会端内存，会议结束销毁  │
├─────────────────────────────────────┤
│  媒体流加密密钥 (MEK)                │  ← 每轨/每轮换周期唯一
│  • 由 SMK 通过 HKDF 派生             │
│  • 支持独立轮换，不影响信令通道      │
└─────────────────────────────────────┘

sequenceDiagram
    participant Client as 客户端
    participant HSM/TEE as 硬件隔离区
    participant Server as 目录服务
    Client->>HSM/TEE: 生成 Ed25519/X25519 密钥对
    HSM/TEE-->>Client: 私钥仅存于安全飞地
    Client->>Server: 上传公钥 + 设备证明
    Server-->>Client: 签发设备证书

MEK_0 = HKDF-SHA256(SMK, salt="", info="mek-epoch-0")

时刻 T0:  正在使用 MEK_n
时刻 T1:  发送方生成 MEK_{n+1}，通过信令通道加密分发
时刻 T2:  双方缓冲区同时持有 MEK_n / MEK_{n+1}
时刻 T3:  发送方切换发送 MEK_{n+1}，标记 epoch=n+1
时刻 T4:  接收方确认收到新 epoch 包，销毁 MEK_n

{
  "event": "mek_rotate",
  "meeting_id": "m_7f3a9b2",
  "epoch": 3,
  "initiator": "user_123",
  "participants": ["user_123", "user_456"],
  "timestamp": "2025-07-15T08:12:34.123Z",
  "trigger": "time_threshold_1800s",
  "status": "success",
  "client_version": "4.2.1",
  "os": "iOS 17.5"
}

# mls_config.toml 建议生产基线
[protocol]
version = "MLS10"
cipher_suite = "MLS_128_DHKEMX25519_AES128GCM_SHA256_Ed25519"  # 国密场景替换为 SM2/SM4 套件
capabilities = ["proposal_credential", "external_senders"]  # 仅启用必要扩展

[group]
max_size = 500                    # 单会议上限
leaf_node_lifetime = "24h"        # 叶子节点证书有效期
reinit_threshold = 100            # 成员变更累计达阈值触发 ReInit

[ratchet_tree]
update_policy = "on_demand"       # 非定时强制，由应用层按数据量/时间触发

┌─────────────────────────────────────────────────────────────┐
│  信令平面 (MLS Group)                                        │
│  • 成员准入/踢人/权限变更 → GroupContext 更新                │
│  • 密钥轮换指令 (KeyPackage Update/Commit)                   │
│  • 元数据：会议ID、布局控制、字幕流控                        │
├─────────────────────────────────────────────────────────────┤
│  媒体平面 (SFrame over RTP)                                  │
│  • 复用 MLS Epoch Secret 派生 SFrame Base Key                │
│  • 每轨独立 Key ID (KID)，支持选择性转发单元 (SFU) 路由      │
│  • 无需额外信令往返，实现「零 RTT 轮换」                     │
└─────────────────────────────────────────────────────────────┘

// 从 MLS Epoch Secret 派生 SFrame Base Key
fn derive_sframe_keys(epoch_secret: &[u8], label: &str) -> SframeKeyMaterial {
    let salt = b"SFrame 1.0";
    let ikm = hkdf_extract(salt, epoch_secret);
    let base_key = hkdf_expand(&ikm, label.as_bytes(), 16); // AES-128
    let base_salt = hkdf_expand(&ikm, b"salt", 16);
    SframeKeyMaterial { base_key, base_salt }
}

// SFU 转发时仅需验证 KID 与 CTR，无法解密载荷
fn sframe_encrypt(pkt: &mut RtpPacket, key_mgr: &SframeKeyMgr) -> Result<()> {
    let kid = key_mgr.current_kid();
    let ctr = key_mgr.next_counter(kid);
    let (auth_tag, ciphertext) = aead_seal(
        &key_mgr.key_for(kid),
        &ctr.to_be_bytes(),
        &pkt.header_bytes(),      // AAD: RTP 头部
        &pkt.payload              // 明文载荷
    );
    pkt.payload = [&ciphertext, &auth_tag].concat();
    pkt.set_extension(SFRAME_EXT_ID, &[kid, ctr]); // 插入 Header Extension
    Ok(())
}

时序图：
1. 设备 A 发起 Commit (Epoch n → n+1)
2. 服务端广播 Commit + 新 Tree Hash 至所有在线设备
3. 设备 B (在线) 应用 Commit → 本地 Tree 更新 → ACK
4. 设备 C (离线) 上线 → 拉取「最新 Group State + 最近 5 个 Commit」
5. 设备 C 重放 Commit → 追平 Epoch n+1 → 发送 SyncAck
6. 服务端标记设备 C「同步完成」，后续媒体流切换新 Epoch

message DeviceSyncState {
  string device_id = 1;
  uint64 epoch = 2;                    // 当前已应用的 Epoch
  bytes tree_hash = 3;                 // Ratchet Tree 根哈希
  repeated bytes pending_commits = 4;  // 待应用的 Commit 列表 (离线补齐用)
  enum Status { SYNCING, SYNCED, CONFLICT } status = 5;
  int64 last_sync_ts = 6;
}

┌──────────────┐     TLS + mTLS      ┌──────────────────────┐
│  SFU 集群    │ ──────────────────▶ │  Nitro Enclave 录制网关 │
│  (仅转发密文)│  加密 RTP 流         │  • 验证 Enclave 签名   │
└──────────────┘                     │  • 从 KMS 获取录制密钥 │
                                     │  • 本地落盘加密 (AES-256)│
                                     │  • 上传对象存储 (S3)     │
                                     └──────────┬─────────────┘
                                                │
                                                ▼
                                     ┌──────────────────────┐
                                     │   审计日志 (WORM)    │
                                     │  • 访问时间/人/目的  │
                                     │  • 密钥使用计数器    │
                                     └──────────────────────┘

经典侧: X25519 (或 P-256)          → shared_classic
PQC 侧:  ML-KEM-768 (Kyber768)     → shared_pqc
合并:    HKDF-SHA256(shared_classic || shared_pqc, salt, "mls-hybrid-v1")

// 混合 KEM 封装示例
int hybrid_encap(uint8_t *ct, uint8_t *ss, const uint8_t *pk_classic, const uint8_t *pk_pqc) {
    uint8_t ss_classic[32], ss_pqc[32];
    uint8_t ct_classic[32], ct_pqc[1088]; // ML-KEM-768 密文长度

    // 1. 经典侧 X25519
    X25519(ct_classic, ss_classic, pk_classic, my_priv_classic);

    // 2. PQC 侧 ML-KEM
    MLKEM768_encap(ct_pqc, ss_pqc, pk_pqc);

    // 3. 拼接密文 (发送给对端)
    memcpy(ct, ct_classic, 32);
    memcpy(ct + 32, ct_pqc, 1088);

    // 4. KDF 合并共享密钥
    uint8_t ikm[32 + 32];
    memcpy(ikm, ss_classic, 32);
    memcpy(ikm + 32, ss_pqc, 32);
    HKDF_SHA256(ss, 32, ikm, sizeof(ikm), salt, "hybrid-kem");
    return 1;
}

# 服务端 Commit 处理伪代码
def handle_commit(sender_id, commit_msg, epoch):
    # 1. 幂等键：sender_id + epoch + commit_hash
    idempotency_key = f"{sender_id}:{epoch}:{hash(commit_msg)}"
    if redis.setnx(idempotency_key, "1", ex=3600):
        # 2. 串行化应用：同一 Epoch 同一时刻仅处理一个 Commit
        with distributed_lock(f"mls_commit:{group_id}:{epoch}"):
            apply_commit_to_ratchet_tree(commit_msg)
            broadcast_commit(commit_msg)
    else:
        # 重复 Commit 直接丢弃，返回当前最新 Tree Hash
        return current_tree_hash()

正常流程:          发送 Commit → 等待 ACK → 切换 Epoch
弱网优化流程:
  1. 发送 Commit (携带新 Epoch 密钥材料)
  2. 本地「乐观切换」：立即用新密钥加密发送媒体包 (标记新 Epoch)
  3. 保留旧密钥解密能力 (双缓冲)
  4. 收到多数派 ACK (如 > 50% 成员) → 确认轮换成功，销毁旧密钥
  5. 超时 (3 * RTT_p99) 未达标 → 回滚：停用新密钥，发送 Rollback Proposal

# .github/workflows/supply-chain.yml
jobs:
  build:
    steps:
      - name: 锁定依赖版本 (Cargo.lock / package-lock.json / go.sum)
        run: |
          cargo generate-lockfile
          npm ci --package-lock-only
      
      - name: 可复现构建
        uses: actions/rust-toolchain@stable
        with:
          profile: release
          # 关键环境变量消除非确定性
          env:
            SOURCE_DATE_EPOCH: ${{ github.event.repository.created_at }}
            CARGO_INCREMENTAL: 0
            RUSTFLAGS: "-C debuginfo=0 -C strip=symbols"
      
      - name: 签名与证明
        run: |
          cosign sign-blob --yes --output-signature artifact.sig artifact.bin
          rekor upload --artifact artifact.bin --signature artifact.sig --public-key cosign.pub
      
      - name: SBOM 生成 (SPDX/JSON)
        run: |
          syft packages dir:. -o spdx-json > sbom.spdx.json
          # 上传至内部制品库，关联发布版本
      
      - name: 漏洞扫描 (OSV / Grype)
        run: |
          grype artifact.bin --fail-on high
          cargo audit --deny warnings

# 密钥生命周期
mls_epoch_current{group_id, device_id}          # 当前 Epoch (Gauge)
mls_commit_latency_seconds{group_id, phase}     # Commit 生成/广播/应用延迟 (Histogram)
mls_key_package_available{device_id}            # 可用 KeyPackage 数量 (Gauge)

# 轮换健康度
mek_rotation_total{group_id, trigger, result}   # 触发类型/成功失败计数
mek_rollback_total{group_id, reason}            # 回滚计数
mek_double_buffer_active{group_id}              # 双缓冲并存时长 (Histogram)

# 同步一致性
device_sync_status{device_id, status}           # SYNCED/SYNCING/CONFLICT
device_sync_lag_epochs{device_id}               # 落后主设备 Epoch 数

# 安全审计
key_revocation_total{reason, level}             # ILK/SMK/MEK 撤销原因分布
tee_attestation_failure_total{enclave_id}       # TEE 远程认证失败

groups:
- name: e2ee-key-health
  rules:
  - alert: MEKRotationStalled
    expr: increase(mek_rotation_total{result="success"}[30m]) == 0
      and on(group_id) mls_epoch_current > 0
    for: 10m
    labels:
      severity: critical
      team: media-infra
    annotations:
      summary: "会议 {{ $labels.group_id }} 超 30 分钟未完成密钥轮换"
      runbook_url: "https://wiki.example.com/runbooks/mek-rotation-stalled"

  - alert: DeviceSyncConflict
    expr: device_sync_status{status="CONFLICT"} == 1
    for: 1m
    labels:
      severity: warning
    annotations:
      summary: "设备 {{ $labels.device_id }} 密钥状态分叉，需人工介入"

  - alert: TEEAttestationFailureRateHigh
    expr: rate(tee_attestation_failure_total[5m]) > 0.05
    for: 2m
    labels:
      severity: critical
    annotations:
      summary: "TEE 录制网关认证失败率 > 5%，疑似镜像篡改或密钥策略变更"