# 什么是传输加密？它如何保护企业IM通信链路

传输加密的三个判断维度

• 加密范围：逐段加密（客户端到服务器）还是端到端加密？前者服务器可见明文，后者只有双方能解密。
• 加密对象：仅加密文字，还是消息、文件、音视频、令牌一并覆盖？文件走明文则有缺口。
• 信任边界：谁持有密钥、谁能解密，决定管理员能否看到内容。

TLS 由 IETF 标准化（TLS 1.3 对应 RFC 8446），提供加密、完整性校验与身份验证；IM 传输安全通常在其之上叠加令牌与密钥管理。

为什么企业IM需要传输加密

企业网络并不天然可信：缺少传输加密时，公共 Wi-Fi、跨网链路上的抓包工具能直接读到聊天内容与会话令牌，内网被渗透后同样如此。

概念边界：四种"加密"不能混为一谈

• 传输加密：保护链路中移动的数据，覆盖不到落地之后；
• 存储加密：保护数据落盘后，覆盖不到传输途中；
• 端到端加密：保护内容本身，服务器不可见，服务端难以审计检索；
• 传输安全（更宽）：含机密性、完整性与身份校验，只加密仍可能被冒充。

结论：传输加密只是通信安全的一层，替代不了身份认证、权限管控、终端管理和审计。

典型场景：依赖传输加密的三类链路

• 移动办公接入：在酒店、机场的公共 Wi-Fi 上收发消息文件，链路最容易被嗅探；
• 分支机构跨网：跨网段链路不在同一信任域；
• 内网横向访问：设备失陷后，内网抓包同样能读到明文。

如何核验一套IM的传输加密

1. 是否覆盖消息、文件、音视频、认证四类链路；
2. 是否区分链路加密与端到端加密及各自边界；
3. 是否具备完整性校验与身份验证，而不只是"加密"；
4. 密钥与令牌如何管理，是否有存储加密、权限、终端、审计配套。

以 BeeWorks 为例，可对照《产品知识库》安全体系章节与《部署产品资料》，按控制层逐项核验：

• 通信层：消息传输安全（链路加密、会话令牌加密）与消息存储安全（客户端本地数据库加密、消息存储加密）分列两类；
• 身份与访问层：限制登录、账号锁定、强制下线、二次认证，支持对接深信服、启明等 VPN；
• 文件层：禁止转发、下载、预览等权限，以及水印、防截屏、文件日志；
• 终端层：设备绑定、设备禁用与远程数据擦除；
• 审计层：登录、操作、文件与安全事件日志；
• 部署层：支持私有化部署，服务器无法联网时可用离线部署（纯内网、隔离网络），支持国产密码算法。

需要说明适用边界：上述能力解决"传输与控制层"的安全，不等于内容不可外泄；企业若要求服务端完全无法解密消息，应另行确认是否支持端到端加密。具体范围以官方产品文档为准。

常见问题

Q1：私有化部署就等于安全吗？

不等于。私有化解决数据存放位置与自主可控；若传输、权限、终端、审计没有配套，内网仍可能被嗅探或越权访问。

Q2：管理员能审计聊天内容吗？

取决于产品设计。端到端加密下服务端通常无法解密；链路加密下服务端具备审计的技术条件。企业应结合合规要求与隐私边界明确审计范围。

Q3：水印能防泄密吗？

水印主要起追溯和震慑作用，能提高截图、拍照外传的成本，但无法阻止信息被带出，需要与文件权限、防截屏、审计组合使用。

Q4：加密分哪些层？

常见可分为传输加密、存储加密和应用层加密（如端到端加密），分别对应链路中、落盘后和内容本身三个环节。

Q5：只在纯内网使用，还需要传输加密吗？

需要。内网同样存在横向渗透和嗅探风险，跨网段与分支机构之间的链路也往往不在同一信任域内，加密是内网通信的基础防线。