标准化组件是审查的起点，而不是整个通讯应用的安全证书。
ML-KEM-768 帮助双方建立共享秘密，随后可用它保护消息。它是消息系统的一个组件，不是完整的聊天协议、消息加密算法，也不是证明应用安全的证书。
NIST 于 2024 年 8 月 13 日发布 FIPS 203，将 ML-KEM 及其 512、768 和 1024 参数集标准化。其安全性基于被认为能够抵御量子攻击的格问题。“被认为能够抵御”是由分析支持的安全假设，不是保证未来绝不可能出现弱点的承诺。参见 NIST FIPS 203。
KEM 在加密聊天中的位置
理解加密声明的一种有用方式，是跟随密钥材料的流向：
- 认证预期的对方。 与冒充者进行密钥交换，仍然是与错误的人交换密钥。
- 建立共享秘密材料。 KEM 通过封装与解封装提供秘密。
- 为不同用途派生密钥。 密钥派生函数将协议不同部分使用的材料分开。
- 加密并认证消息。 认证加密方案保护内容，并检测未经授权的修改。
- 持续管理会话。 密钥轮换、删除、设备变更和恢复，决定了后续入侵可能暴露什么。
这些步骤说明，为第二步制定的标准为什么不能验证整个应用。NIST 的后量子常见问题提供了部署新标准的相关背景。
为什么将 ML-KEM 与经典密钥协商结合？
混合设计将后量子组件与经典组件搭配使用，例如椭圆曲线 Diffie–Hellman。其目标是在过渡期间避免完全依赖任一套假设。
安全声明应归属于完整的组合器与协议，而不只是两个算法的清单。审查者需要知道哪些输入经过认证、如何编码并组合、密钥派生绑定了什么上下文，以及某个组件失败时会发生什么。在没有明确构造的情况下拼接秘密，并不构成安全论证。
对用户而言，实际问题不是“设置页面是否写着量子安全”，而是“哪些会话与版本真正使用这一构造，有什么证据支持该陈述？”
Livara 文档说明了什么
Livara 的安全文档描述了使用经典 P-256 与 ML-KEM-768 材料的 LVR1 私聊会话，并以 AES-256-GCM 保护内容。它将 LGS1 私密群组描述为通过两两 LVR1 会话分发的发送者链。这是不同的层次：普通群组消息不一定为每位收件人进行一次新的 ML-KEM 交换。
应将这些文档视为开发者的说明。列出标准化基础算法，不能证明 Livara 的自定义组合经过独立审计，也不能证明每个已安装版本都正确实现了它。Proof Lab明确限定其浏览器演示的范围：它不执行完整的 LVR1/LGS1 棘轮，也不构成协议审计。
后量子保护不覆盖什么
| 问题 | 为什么单靠 ML-KEM 无法回答 |
|---|---|
| 收件人能复制我的消息吗？ | 收件人会收到可读内容。 |
| 我的设备没有间谍软件吗？ | 端点完整性是独立的信任假设。 |
| 备份受到保护吗？ | 备份密钥和恢复规则需要单独设计。 |
| 群组成员变更安全吗？ | 认证、成员关系及重新密钥化规则都很重要。 |
| 服务保留元数据吗？ | 内容加密不会自动隐藏路由或时间信息。 |
| 通话与文字聊天采用相同保护吗？ | 通话信令与媒体可能使用不同协议。 |
Livara 的威胁模型也区分了私密会话与公共频道，并承认设备层面的暴露风险。不要把针对私聊的声明扩展到产品的每个功能领域。
选择“FIPS 203 消息传递”产品的检查清单
询问准确的参数集和协议版本、对端认证与密钥组合的说明、支持的客户端版本、遇到不兼容客户端时的行为，以及与实际交付实现对应的测试或审查发现。如果厂商宣称通过 FIPS 验证，请索取相关验证记录及其范围。使用 FIPS 文档中描述的算法，本身并不是产品或模块通过验证的证据。
不要根据参数名称推断电池续航、吞吐量或应用响应速度。这些需要明确记录设备、构建版本和工作负载的测量。
对消息传递而言，有价值的变化是增加了保护长期机密性的新工具。 它的价值取决于集成、实现和运行边界，而不是用一个营销标签替换另一个。
