GoodSync 端到端 AES-256 加密机制详解
为什么需要端到端加密
当你把文件从一台电脑同步到另一台电脑，中间的数据链路可能经过多个节点——本地局域网、家庭路由器、运营商的骨干网、甚至 GoodSync 的 Forwarder 中继服务器。如果在这些链路上传输的是明文数据，理论上任何一个节点都可能截获。
GoodSync 的端到端加密覆盖了两个层面：
- 传输加密：数据在网络上传输时全程加密，即使被截获也无法解密。
- 静态加密：如果目标端点是 GoodSync Storage 云存储，数据在服务器端以加密形式存储，云服务商本身也无法读取。
加密算法与密钥管理
GoodSync 采用 AES-256 作为对称加密算法——这是目前业界公认最强的对称加密标准，尚未被公开破解。
密钥管理采用用户自管理的模式：
- 加密密钥由用户首次启用加密时设置的密码派生（PBKDF2 算法）
- GoodSync 本身不保存用户的加密密码，只保存加密后的密钥文件
- 两端使用同一把加密密钥，同步时自动加解密
- 遗忘加密密码后数据无法恢复——这既是安全保证也是使用风险
加密在不同协议下的表现
GoodSync 对加密的支持程度因协议而异：
| 协议 | 默认传输加密 | 可启用 GoodSync 额外加密 |
|---|---|---|
| GSTP（GoodSync Connect） | 已内置 TLS + AES-256 | 可额外开启应用层加密 |
| SFTP | SSH 隧道加密 | 可额外开启应用层加密 |
| WebDAV over HTTPS | TLS 加密 | 可额外开启应用层加密 |
| WebDAV over HTTP | 无（明文） | 必须开启 GoodSync 额外加密 |
| FTP | 无（明文） | 必须开启 GoodSync 额外加密 |
| SMB | 依赖 SMB 版本 | SMB 3.0 及以上自带加密 |
| GoodSync Storage | 全程加密 | 默认已启用 |
关键提示：当使用 FTP 或 HTTP 版 WebDAV 这类本身不加密的协议时，GoodSync 的额外加密选项是强制推荐的，否则文件将以明文在网络上传输。
加密的性能影响
AES-256 的加解密对现代 CPU 来说非常快——Intel 和 AMD 的消费级处理器都内置了 AES 指令集，加解密吞吐可达数百 MB/s。在实际同步场景中，加密带来的开销通常小于 5%，几乎不会成为瓶颈。
但在以下场景中需要注意：
- 低性能 ARM 设备（如旧款 NAS、老 Raspberry Pi）可能会感受到明显的 CPU 占用
- 如果同步链路本身带宽较低，网络仍然是瓶颈，加密开销可以忽略
- 大量小文件场景下，每个文件都需要单独加解密，累计开销比大文件场景略高