tea2adt：基于音频的加密通信工具，实现离线安全数据传输-平芜编程栈

1. 项目概述：当音频成为加密隧道

如果你曾设想过一种通信方式，它不依赖任何网络协议栈，不经过任何运营商的服务器，甚至能让两台完全离线的计算机安全地交换信息，那么tea2adt这个工具可能会让你眼前一亮。它的核心思路非常巧妙：将数据调制为音频信号，通过最原始的声波进行传输，再在接收端解调还原。这听起来像是上世纪的老式调制解调器（Modem），但tea2adt在其之上构建了一套完整的、面向现代安全需求的加密通信系统。

简单来说，tea2adt是一个命令行工具，它利用minimodem（一个软件音频调制解调器）和GnuPG（强大的加密工具）的组合，在任意能传输音频的物理通道上，建立了一个加密的、点对点的数据链路。你可以把它想象成一个“音频数据二极管”：数据只能单向流过音频接口（从扬声器到麦克风），这种物理特性天然地防止了数据回传或恶意代码注入，为原本的端到端加密（E2EE）增加了一层物理隔离，作者称之为“增强型端到端加密”。

这意味着什么？它打开了许多有趣的、甚至有些“硬核”的应用场景。比如，在两个物理隔离（气隙隔离）的敏感系统之间安全地传递指令或小文件；通过业余无线电或对讲机建立临时的加密文本通信；或者，像我一样，用它来远程、安全地访问家中那台不联网但运行着本地大语言模型（如 Ollama）的机器，进行 AI 对话。它剥离了所有复杂的网络配置和中间环节，将通信简化为最本质的“发声”与“收听”，在这种极简主义下，反而催生出一种独特的安全感和可控性。

2. 核心原理与架构拆解

要理解tea2adt的强大之处，我们需要拆解它的技术栈和工作流程。它不是一个单一的黑盒，而是一个精心编排的“交响乐团”，每个组件各司其职。

2.1 核心组件：minimodem 与 GnuPG 的黄金组合

tea2adt自身并不直接处理信号调制解调或高强度加密，它扮演的是“指挥家”和“协议层”的角色。其核心能力建立在两个久经考验的开源工具之上：

minimodem：这是整个系统的“物理层”。它将数字数据（0和1）转换成特定的音频频率（例如，用 1200Hz 代表 0， 2200Hz 代表 1），这个过程称为频移键控（FSK）。接收端的minimodem则监听这些频率，将其还原为数字数据。它负责与声卡打交道，处理所有模拟信号相关的细节。tea2adt通过调用minimodem命令，实现了数据的“声波化”和“数字化”。
GnuPG (GPG)：这是系统的“安全层”。所有通过音频通道传输的数据，在调制为声音之前，都会先由 GPG 使用对称加密算法（如 AES-256）进行加密。接收端收到并解调出数据后，必须用相同的密码才能解密。这确保了即使音频信号被第三方截获，在没有密码的情况下，听到的也只是无意义的噪音。GPG 提供了军械库级别的加密保障。

tea2adt的独创性在于，它在这两层之上，构建了一个可靠的传输层和应用层。音频传输天生不稳定，容易受到环境噪音、音量不当、信号衰减的影响。tea2adt引入了自动重传、数据分块、冗余发送、保活心跳等机制，确保在恶劣的音频信道中，数据也能可靠送达。同时，它封装了聊天、远程Shell、文件传输等具体应用，让用户无需关心底层复杂的进程管理和数据流拼接。

2.2 增强型端到端加密与数据二极管理念

传统的网络端到端加密，数据依然要在复杂的网络协议栈中穿梭，经过操作系统内核、网卡驱动等。理论上，这些层面存在被高级威胁攻陷的可能。tea2adt提出的“增强型E2EE”概念，其增强点就在于引入了音频数据二极管这个物理特性。

在典型的配置中，设备A的扬声器输出连接至设备B的麦克风输入，反之亦然。但请注意，这是一个单向的物理连接。扬声器只会发声，不会“听”；麦克风只会“听”，不会发声。这意味着：

防数据泄漏：即使设备A被植入恶意软件，该软件也无法通过这个音频通道主动“喊话”把数据发送出去，因为它控制不了设备B的麦克风。
防恶意注入：攻击者无法通过这个音频通道向设备A发送恶意指令或代码，因为设备A的麦克风没有连接到任何输出源。

通信的双向性，是通过建立两条独立的、反向的音频通道来实现的（A说B听，B说A听）。这种设计极大地提高了在对抗性环境中的安全性，特别适合用于连接高安全区（如内部网络）和低安全区。

2.3 典型工作流程与数据包生命周期

让我们跟踪一条聊天消息从输入到显示的完整旅程，以理解tea2adt的内部运作：

应用层输入：用户在A设备的tea2adt聊天界面输入“Hello”。
传输层封装：tea2adt不会直接发送“Hello”。它会为其添加序列号、计算校验和，并可能将其拆分为更小的数据块（如果消息很长）。同时，它管理着一个发送队列和确认（ACK）机制。
加密层处理：封装好的数据块被传递给 GPG，使用用户之前设定的密码进行加密，输出是一段二进制密文。
物理层调制：加密后的二进制数据被送入minimodem。minimodem将其转换为对应频率的音频信号，并通过系统的默认扬声器播放出来。
物理传输：音频信号通过空气、电缆、电话线路、无线电波等媒介传播。
物理层解调：B设备的麦克风捕捉到音频信号，minimodem在另一端运行，试图从噪音中识别出有效的FSK频率，并将其还原为二进制数据流。如果信号质量太差，这一步可能会失败或产生误码。
传输层校验与重组：tea2adt收到二进制流后，先进行校验。如果校验失败（说明传输有误），它会等待A设备的重传。如果成功，则根据序列号将数据块重组，并发送一个ACK确认包回A设备（同样经过加密和音频调制）。
解密与呈现：重组后的密文数据块被送入 GPG 解密，恢复出原始的“Hello”文本，最终显示在B设备的tea2adt聊天窗口中。

这个过程看似繁琐，但tea2adt将其全部自动化，用户感知到的就是一个简单的、有时延的聊天界面。

3. 实战部署与核心配置详解

理解了原理，我们来动手搭建。tea2adt的安装非常灵活，你可以通过pip快速体验，也可以通过git克隆获取最新开发版本。

3.1 两种安装方式与初始依赖处理

方式一：pip安装（推荐用于稳定使用）这是最快捷的方式，适合大多数用户。

pip install tea2adt

安装后，直接在终端输入tea2adt即可运行。首次运行时会检查依赖，并提示你安装缺失的组件（如minimodem,gpg,bc,tmux等）。你可以按照提示操作，或者提前手动安装好。

# 在基于Debian/Ubuntu的系统上，可以提前安装 sudo apt update sudo apt install minimodem gnupg bc tmux sox

注意：minimodem和sox（一个音频处理工具）是核心依赖，务必确保安装成功。tmux用于管理多个并行的音频收发进程，提供更好的终端体验。

方式二：git克隆安装（适合开发者或想尝鲜）如果你想直接使用源码，或者项目有更新而 PyPI 还未同步，可以使用此方法。

git clone https://github.com/ClarkFieseln/tea2adt.git cd tea2adt/tea2adt_source chmod +x tea2adt *.sh

之后，你可以通过python3 tea2adt.py或./tea2adt来运行。Git 安装方式让你能更方便地查看和修改源代码，例如调整一些内部参数或脚本。

首次运行与密码设置：无论哪种安装方式，第一次使用任何功能（如-c聊天）时，系统都会提示你输入并确认一个密码。这个密码就是 GPG 对称加密的密钥，请务必牢记。两端设备必须使用完全相同的密码才能成功通信。tea2adt不会存储这个密码，每次启动相关功能都需要重新输入。

3.2 核心功能模式与启动命令

tea2adt提供了四种核心操作模式，对应不同的应用场景：

聊天模式：最基本的文本通信。
```
tea2adt -c
```
启动后，会进入一个简单的聊天界面。你在一端输入的文字，经过加密、调制、传输、解调、解密后，会显示在另一端的界面上。这是测试音频链路是否通畅的最佳起点。
远程Shell模式：这是一个反向Shell，请谨慎使用。
```
tea2adt -s
```
在设备A上执行此命令，设备A就成为了“被控端”。在设备B上启动聊天模式（tea2adt -c），然后在B的聊天窗口中输入 Linux 命令（如ls,pwd），这些命令会被发送到A执行，并将结果返回到B的聊天窗口。这意味着，如果你在个人电脑上开启了-s，那么任何能与你建立音频连接的人，都可能控制你的电脑。务必在可信环境和明确用途下使用。
远程AI提示模式：连接本地AI模型的桥梁。
```
tea2adt -l
```
这个模式专为本地AI设计。在运行着 Ollama、LocalAI 或 OpenClaw 等AI服务的设备上启动此模式。在另一端的聊天窗口中，你可以直接发送提示词（如“用Python写一个快速排序函数”），提示词会被发送到本地的AI模型，并将生成的回复传回聊天窗口。这实现了对离线AI能力的远程安全调用。
文件传输模式：
```
tea2adt -f
```
在发送端执行此命令并选择要发送的文件，在接收端同样执行tea2adt -f进入接收状态。文件会被分块、加密、传输。由于音频速率限制（通常几十到几百比特/秒），仅适合传输小体积的文本文件或密钥文件，传输大文件需要极大的耐心。
探测模式：调试音频链路的利器。
```
tea2adt -p
```
此模式会发送未经加密的探测信号。接收端会打开一个新终端窗口来显示接收到的原始数据。这是调试音量电平、检查连接是否成功、调整扬声器和麦克风位置的最关键工具。在建立正式加密通信前，强烈建议先用-p模式确保物理链路稳定。

3.3 深度配置指南：终端GUI与关键参数

默认配置可能不适合你的硬件和环境。tea2adt提供了一个简洁的终端图形界面（TUI）来修改配置：

tea2adt -g

通过方向键和回车键，你可以浏览和修改所有参数。配置文件实际保存在~/.config/tea2adt/cfg/目录下（路径可通过tea2adt -d查看），你也可以直接编辑这些文本文件。

以下是几个最关键的配置项及其调整策略：

波特率：这是最重要的参数之一，直接决定传输速度。minimodem支持多种波特率（如--baud 300,--baud 1200,--baud 2400）。速率越高，对音频信道质量的要求也越高。在电话线或对讲机等质量较差的信道上，建议从 300 开始尝试。在安静的室内通过有线直接连接，可以尝试 2400 甚至更高。修改后需要在两端保持一致。
音量设置：
- volume_microphone：输入增益。如果接收端总是丢包，可以尝试适当调高发送端的此值。
- volume_speaker_left/volume_speaker_right：输出音量。音量过大可能导致扬声器破音或信号削波失真，音量过小则容易被噪音淹没。最佳音量是让接收端的信号强度指示（在minimodem的输出或tea2adt的日志中可见）保持在一个较高的、稳定的水平，但不要达到峰值（爆表）。使用-p探测模式来精细调整。
传输可靠性参数：
- keepalive_time_sec：保活包间隔。如果信道长时间安静，某些设备（如VoIP软件）可能会自动增益控制（AGC）或进入省电模式，导致重新有信号时无法及时响应。定期发送保活包可以维持链路活跃。通常设置为10-30秒。
- retransmission_timeout_sec：重传超时。发送一个数据块后，等待对方ACK确认的时间。如果超时未收到ACK，则重发该块。在延迟大、不稳定的信道（如无线电）上，需要调大此值。
- split_tx_lines：发送分块大小。将长消息自动分割成指定字符数的小块发送。这能提高单个数据块的传输成功率，减少因一小段错误导致整条消息重传的概率。一般设置为50-200。
AI集成配置：
- llm_cmd：这是远程AI提示模式（-l）的核心。你需要将其配置为调用你本地AI模型的命令。例如，对于 Ollama，你可能需要设置为ollama run llama3.2。tea2adt会将收到的提示词作为标准输入传递给这个命令，并捕获其标准输出作为回复。
文本转语音：
- text_to_speech：启用后，接收到的聊天文本会通过系统TTS引擎朗读出来。这在某些无需盯着屏幕的场景下很有用（比如通过无线电接收状态报告）。

4. 典型应用场景与实战连接方案

tea2adt的魅力在于其媒介的灵活性。任何能传递音频的路径，都可以成为它的隧道。下面我结合自己的实践，分享几种可靠的连接方案。

4.1 方案一：计算机直连（最稳定）

这是最简单、最可靠的方案，用于两台邻近的电脑之间传输数据。

所需设备：两条3.5mm音频线，一个双公头音频耦合器（或将两条音频线的公头焊接在一起）。连接方法：

电脑A的耳机（扬声器）口 -> 音频线 -> 电脑B的麦克风口。
电脑B的耳机（扬声器）口 -> 另一条音频线 -> 电脑A的麦克风口。软件配置：两端均运行tea2adt。无需任何其他软件。优点：信号质量极佳，干扰最小，可以达到较高的波特率（如 2400 或以上）。实操心得：在Linux下，使用alsamixer或pavucontrol确保正确的输入输出设备被选中，并且没有静音。Windows下注意在声音设置中禁用“侦听此设备”等可能造成回声的功能。

4.2 方案二：通过智能手机与互联网（远程桥梁）

这个方案可以实现远距离通信，核心是利用智能手机上的网络通话App来承载音频流。

所需设备：两台电脑，两部智能手机，四根音频线。连接方法：

电脑A <-> 智能手机B （通过音频线连接手机耳机孔和电脑音频接口）
智能手机C <-> 电脑D （同上）
智能手机B 与智能手机C 之间，通过互联网语音通话软件（如Linphone, Signal, Telegram 的语音通话）建立连接。软件配置：

电脑A和D：运行tea2adt。
智能手机B和C：安装 Linphone 并登录，建立通话。关键一步：需要在手机上将通话的“音频路由”强制设置为“有线耳机”或“蓝牙”，确保音频信号走物理接口而非手机扬声器/听筒。优点：突破了距离限制，利用现成的互联网基础设施。注意事项：网络通话软件通常会施加音频压缩、降噪、自动增益控制，这些都会严重破坏minimodem依赖的纯净FSK信号。Linphone 是经过验证相对兼容性较好的选择，因为它对音频的处理干预较少。务必在通话设置中关闭所有增强功能（如回声消除、噪声抑制）。

4.3 方案三：通过对讲机或无线电（无线场景）

这是最具极客精神和实用价值的场景之一，实现了真正的无线加密数据通信。

所需设备：两台电脑，两对（四台）对讲机，四根音频线。连接方法：

电脑A <-> 对讲机B1 （音频线连接电脑和對講機的耳机/麦克风接口，通常需要特制线缆）
对讲机B2 <-> 对讲机C1 （无线对讲）
对讲机C2 <-> 电脑D （音频线连接）软件配置：电脑A和D运行tea2adt。波特率必须设置得很低，如 300 甚至 110，以适应窄带无线电信道的高噪音和失真。优点：无需任何现有基础设施，建立独立的无线数据网络。适用于野外作业、应急通信或业余无线电爱好。踩过的坑：

接口匹配：对讲机的接口阻抗和电平与电脑声卡不匹配，直接连接可能声音极小或失真。可能需要自制一个简单的衰减器或使用专用的接口盒。
PTT控制：如果需要长时间传输，需要将对讲机设为常发（TX）模式，或者通过电路模拟按下PTT（发射键）。这涉及到硬件改装。
静噪：关闭对讲机的静噪功能，否则微弱的minimodem信号可能无法打开静噪，导致接收中断。

4.4 方案四：在Android手机（Termux）上运行

tea2adt是 Python 编写的，因此可以在 Android 的 Termux 环境中运行。这让你可以直接用两部手机建立加密音频链路。

部署步骤：

在 Termux 中安装 Python、pip。
pip install tea2adt或克隆源码。
安装依赖：pkg install minimodem gnupg bc tmux sox。Termux 的仓库通常包含这些软件。
连接方式：可以通过3.5mm音频线直连两部手机（如果都有耳机孔），或者通过蓝牙音频配对（SCO连接）来模拟音频链路。蓝牙连接的延迟和稳定性需要测试。应用场景：快速建立手机间的安全文本通信，或作为便携式加密通信中继节点。

5. 高级技巧、故障排查与安全警示

经过多次实战，我积累了一些在文档中不会明确写出的经验和必须警惕的陷阱。

5.1 提升传输稳定性的实战技巧

环境是王道：尽可能在安静、无回声的环境中进行。关闭风扇、空调，远离会产生电磁干扰的电器（如显示器、充电器）。
音量校准黄金法则：永远先用tea2adt -p模式进行校准。在接收端，观察minimodem输出的信号强度（通常是百分比或 dB 值）。调整发送端音量，使接收信号强度在-20dB 到 -5dB 之间（或强度条在70%-90%满格）。切忌满格（0dB），那意味着信号削顶失真，误码率会飙升。
选择合适的波特率与编码：minimodem支持不同的调制方式（如--alsa=plughw:0,0可指定声卡）。对于嘈杂信道，除了降低波特率，还可以尝试使用更鲁棒的编码，但tea2adt默认使用minimodem的标准FSK。你可以尝试在tea2adt的配置中或直接修改其调用minimodem的命令行参数，加入--confidence参数来提高解调置信度门槛。
管理好音频服务器：在 Linux 上，PulseAudio 或 PipeWire 可能会对音频流进行重采样、音量归一化等处理，破坏信号。一个有效的方法是创建独立的音频配置。例如，可以写一个脚本，在启动tea2adt前，用pasuspender暂时挂起 PulseAudio，让minimodem直接访问 ALSA 硬件层。
```
# 示例脚本 tea2adt_direct.sh pasuspender -- tea2adt -c
```

5.2 常见故障与排查清单

当你发现通信失败、大量重传或解密错误时，可以按照以下顺序排查：

现象	可能原因	排查步骤
完全无通信	1. 物理连接错误或中断。 2. 音频设备未正确选择或被占用。 3. 两端密码不一致。	1. 检查所有音频线是否插紧，接口是否正确（扬声器输出接麦克风输入）。 2. 在系统声音设置和`alsamixer`/`pavucontrol`中确认输入输出设备正确，未静音。 3.使用`tea2adt -p`模式，发送端应能听到持续的调制音，接收端应能看到探测消息。这是隔离软件问题的最关键一步。 4. 确认两端启动同一模式时输入的密码完全一致（区分大小写）。
探测模式 (`-p`) 通，但加密模式 (`-c`) 不通	1. GPG 加密/解密失败。 2. 传输中误码导致密文损坏，无法解密。	1. 确认系统已安装`gpg`且可用。 2. 检查`tea2adt`日志（如果开启了 verbose 模式），看是否有 GPG 报错。 3. 加密模式对误码更敏感。尝试大幅降低波特率（如降到 300），并确保音量在最佳区间。
通信断断续续，大量重传	1. 信号质量差（音量不当、环境噪音、信道带宽不足）。 2. 音频处理软件干扰。	1. 用`-p`模式精细调整音量，确保信号强且稳定。 2. 关闭所有音效增强软件（如 PulseEffects）。在 PulseAudio 的配置文件中，可以将`minimodem`加入黑名单，避免任何处理。 3. 如果使用 VoIP 软件，关闭所有音频处理选项（回声消除、降噪、自动增益、语音优化）。 4. 降低波特率。
远程 Shell (`-s`) 或 AI (`-l`) 无响应	1. 命令执行环境问题。 2. AI 服务未启动或命令配置错误。	1. 对于 Shell，确认命令语法正确。尝试发送简单的`echo hello`测试。 2. 对于 AI，首先在本地终端测试`llm_cmd`配置的命令是否能正常运行。检查 Ollama 等服务是否在运行，模型是否已加载。查看`tea2adt`的日志，看是否有启动子进程的错误信息。

5.3 至关重要的安全警告与伦理边界

tea2adt是一个极其强大的工具，正因如此，你必须清醒地认识到它的双刃剑属性。

反向Shell的风险：tea2adt -s提供的本质上是一个反向Shell。绝对不要在你不完全信任的网络或物理环境中，在你重要的个人或工作电脑上随意开启此模式。它可能成为攻击者持久化控制的后门。
法律与合规红线：
- 未经授权，绝对禁止用于渗透测试或攻击他人系统。在许多司法管辖区，未经许可访问计算机系统是重罪。
- 在工作场所慎用：如果你打算在公司的设备上使用tea2adt进行数据传输，务必事先获得明确的书面授权。否则，这很可能违反公司的信息安全政策，甚至构成违法行为，因为它可能被视作规避安全监控的数据外传工具。
- 尊重无线电法规：如果使用无线电频段，你必须持有相应的业余无线电执照，并在法规允许的频段和功率下操作。非法发射无线电信号会受到严厉处罚。
“增强型E2EE”的局限性：虽然音频数据二极管提供了物理隔离，但端点安全仍然是根本。如果发送或接收计算机本身已被植入键盘记录器或屏幕捕获恶意软件，那么通信内容依然会泄露。tea2adt是通信链路的安全增强，而非系统安全的万能药。

我个人将tea2adt主要应用于几个特定场景：在完全离线的开发环境与在线机器之间安全地同步代码片段或配置文件；作为业余无线电数据通信的一种有趣实验；以及，作为一个绝佳的教学工具，向学生生动展示从物理层到应用层的完整通信协议栈是如何工作的。它的价值不在于替代主流加密通信软件，而在于提供一种独特的、基于物理媒介的、高度可控的安全通信思路。在正确的场景和负责任的使用下，它是一个能激发无限创意的强大工具。