標準化された部品はレビューの出発点であり、メッセンジャー全体の証明書ではありません。
ML-KEM-768 は、二者が共有秘密を確立し、その後メッセージの保護に利用できるようにします。これはメッセージングシステムの一部品であり、完全なチャットプロトコルでも、メッセージ用の暗号でも、アプリの安全性を証明する証明書でもありません。
NIST は 2024 年 8 月 13 日に FIPS 203 を公開し、ML-KEM とその 512、768、1024 のパラメータセットを標準化しました。安全性は、量子攻撃に耐えると考えられている格子問題に基づきます。「耐えると考えられている」は分析に支えられた安全性の仮定であり、将来の弱点が絶対にないという約束ではありません。NIST FIPS 203 を参照してください。
暗号化チャットにおける KEM の位置
暗号化の主張を理解するには、鍵素材の流れを追うと役立ちます。
- 意図した相手を認証する。 なりすまし相手との鍵交換は、依然として誤った相手との鍵交換です。
- 共有秘密素材を確立する。 KEM はカプセル化とカプセル化解除を通じて秘密を提供します。
- 用途ごとの鍵を導出する。 鍵導出関数は、プロトコルの異なる部分が使う素材を分離します。
- メッセージを暗号化し認証する。 認証付き暗号方式は内容を保護し、不正な改変を検出します。
- 時間の経過に伴ってセッションを管理する。 鍵のローテーション、削除、端末変更、復旧によって、後の侵害で何が露出するかが決まります。
これらの手順から、二番目の手順の標準だけではアプリ全体を検証できない理由が分かります。NIST の耐量子暗号 FAQ は、新標準を導入する際の背景を説明しています。
なぜ ML-KEM と従来型の鍵合意を組み合わせるのか
ハイブリッド設計は、耐量子の構成要素と、楕円曲線 Diffie–Hellman などの従来型の構成要素を併用します。狙いは、移行期にどちらか一方の仮定だけに依存しないことです。
安全性の主張が対象とするのは、二つのアルゴリズムを並べた一覧ではなく、完全な結合方式とプロトコルです。レビュー担当者には、どの入力が認証され、どう符号化・結合されるか、導出にどの文脈が結び付けられるか、構成要素が失敗するとどうなるかを知る必要があります。規定された構成なしに秘密を連結しても、安全性の論証にはなりません。
ユーザーにとって実用的な問いは、「設定画面に量子安全と書いてあるか」ではありません。「どの会話とバージョンが実際にこの構成を使い、何がその説明を裏付けているか」です。
Livara が文書化していること
Livara のセキュリティ文書は、従来型の P-256 と ML-KEM-768 の素材を使用する LVR1 個別チャットセッションと、内容保護用の AES-256-GCM を説明しています。LGS1 非公開グループについては、二者間 LVR1 セッションを通して配布される送信者チェーンとしています。これらは異なる層です。通常のグループメッセージが受信者ごとに新たな ML-KEM 交換を行うとは限りません。
この文書は開発者の説明として読んでください。標準化された基本要素の名前を挙げても、Livara 独自の組み合わせが独立監査済みであることや、インストールされた全ビルドが正しく実装していることの証明にはなりません。Proof Lab はブラウザー実演の範囲を明示的に限定しています。完全な LVR1/LGS1 ラチェットを実行するものでも、プロトコル監査でもありません。
耐量子保護が対象としないもの
| 問い | ML-KEM だけでは答えられない理由 |
|---|---|
| 受信者は私のメッセージをコピーできるか | 受信者は読める内容を受け取ります。 |
| 端末にスパイウェアはないか | 端末の健全性は別の信頼上の仮定です。 |
| バックアップは保護されているか | バックアップ鍵と復旧規則には独自の設計が必要です。 |
| グループのメンバー変更は安全か | 認証、メンバー構成、鍵更新の規則が重要です。 |
| サービスはメタデータを保持するか | 内容の暗号化は経路や時刻を自動的には隠しません。 |
| 通話はテキストチャットと同じ方法で保護されるか | 通話のシグナリングとメディアは異なるプロトコルを使う場合があります。 |
Livara の脅威モデルも、非公開の会話と公開チャンネルを区別し、端末レベルの露出を認めています。個別チャットの主張を製品のあらゆる機能へ拡張しないでください。
「FIPS 203 メッセージング」を選ぶ際のチェックリスト
正確なパラメータセットとプロトコルバージョン、相手の認証と鍵の結合の説明、対応クライアントバージョン、互換性のないクライアントへの動作、出荷された実装にひも付く試験やレビュー結果を求めてください。ベンダーが FIPS 検証を主張するなら、該当する検証記録とその範囲を求めましょう。FIPS 文書に記述されたアルゴリズムを使っているだけでは、製品やモジュールが検証済みである証拠にはなりません。
パラメータ名から電池持ち、スループット、アプリの応答性を推測しないでください。それらには、端末、ビルド、負荷を明記した測定が必要です。
メッセージングにとって有益な変化は、長期的な機密性を守る新しい道具が加わることです。 価値は統合、実装、運用上の境界に依存し、宣伝文句を別の宣伝文句へ置き換えることにはありません。
