He estado implementando (lentamente) algo similar para una aplicación web que usa Autobahn y WAMP, su protocolo y enrutador asociados. Actualmente tengo alrededor de cinco servicios diferentes (algunos escritos en PHP, algunos en NodeJS) además de los clientes que se comunican en tiempo real.
Lo bueno de WAMP es que encapsula tanto las llamadas a procedimientos remotos (RPC) como los modelos de publicación/suscripción (PubSub) para la comunicación.
Mi esquema de autenticación es un poco complicado:en cada página de la aplicación web Laravel, hay un valor de token que es único para el usuario y se genera al iniciar sesión en la aplicación Laravel. Javascript usa este valor de token para autenticarse cuando el cliente se conecta al enrutador WAMP; si es un token no válido (o obsoleto), se rechaza la conexión.
En cuanto a limitar las notificaciones a usuarios o grupos específicos, una forma sencilla de hacerlo sería incluir el código JS adecuado en una función a la que solo se llama (o solo se envía al cliente en la plantilla blade) si el usuario tiene la permisos.
Finalmente, mi aplicación es estrictamente para uso dentro de nuestro firewall, por lo que no he investigado el uso de cifrado/descifrado.
