Iemand uit een versleutelde groep verwijderen zou moeten voorkomen dat die persoon de geheimen ontvangt die nodig zijn voor toekomstige beschermde berichten. Alleen de ledenlijst wijzigen bereikt dat niet als de overgebleven afzenders sleutelmateriaal blijven gebruiken dat het voormalige lid al kent.
De overgang is ook niet overal in een onbetrouwbaar netwerk ogenblikkelijk. Een veilig groepsontwerp moet bepalen bij welke lidmaatschapsstatus een bericht hoort en wat een afzender doet voordat deze een verwijdering heeft verwerkt.
Eerdere en toekomstige berichten zijn verschillende problemen
Een voormalig lid kan berichten, bestanden en sleutels bewaren die het ontving toen het bevoegd was. Verwijdering kan die persoon de geschiedenis niet doen vergeten en diens screenshots niet wissen.
Het haalbare doel is uitsluiting van nieuwe cryptografische toestand nadat de verwijdering van kracht wordt. Iemand toevoegen roept eveneens een afzonderlijke vraag op: krijgt die persoon toegang tot de oude geschiedenis? Producten en protocollen gebruiken termen als forward secrecy in verschillende contexten. Een gewone beschrijving van de beoogde toegangsregel is daarom vaak duidelijker dan een dubbelzinnig etiket.
Waarom groepen met afzendersleutels een nieuwe toestand nodig hebben
In een ontwerp met afzendersleutels kan elke deelnemer gewone groepsberichten versleutelen met een keten die met de toegestane ontvangers wordt gedeeld. Daarmee kan worden vermeden dat bij elke verzending de volledige inhoud afzonderlijk voor iedere ontvanger moet worden versleuteld.
Na een verwijdering kan een voormalig lid de oude keten nog bezitten. De overgebleven afzenders hebben daarom vervangende toestand nodig die niet met het uitgesloten lid wordt gedeeld, en clients hebben een overeengekomen lidmaatschapscontext nodig om die te gebruiken. De rotatie moet de relevante afzenders en apparaten omvatten; één vlag op de server wijzigen is niet genoeg.
Het precieze protocol doet ertoe. MLS, vastgelegd in RFC 9420, verwerkt verwijdering via een vastgelegde epochwijziging die nieuwe entropie aan de overgebleven leden levert. Dit is een voorbeeld van een gedefinieerde toestandsovergang, geen bewering dat Livara MLS implementeert.
Wat Livara voor LGS1 documenteert
Livara’s beveiligingspagina beschrijft één ondertekende afzenderketen per afzender, waarbij afzendersleutels via paarsgewijze LVR1-sessies worden verspreid. De pagina vermeldt dat bij wijzigingen in het lidmaatschap nieuwe afzendersleutels worden aangemaakt en verspreid.
Dat ondersteunt een uitspraak over het gepubliceerde ontwerp voor sleutelvernieuwing. Het stelt geen gemeten tijd voor „onmiddellijke intrekking” vast en bewijst niet dat elke raceconditie, elk scenario met offline apparaten en elke herhaalde poging correct worden afgehandeld. Daarvoor zijn implementatieanalyse en tests nodig.
Lidmaatschapscontroles op de server en cryptografische uitsluiting hebben ook verschillende taken. De dienst kan aflevering of toegang weigeren, terwijl versleuteling moet voorkomen dat een uitgesloten partij met een kopie van latere cijfertekst die zonder de nieuwe geheimen kan openen.
Een nuttig testplan voor verwijdering
Controleer in een geautoriseerde testgroep deze scenario’s met niet-gevoelige berichten:
| Scenario | Te beantwoorden vraag |
|---|---|
| Een lid wordt verwijderd terwijl iedereen online is | Welk bericht is het eerste onder de nieuwe lidmaatschapsstatus? |
| Een overgebleven afzender is offline | Moet deze lidmaatschap en sleutels vernieuwen voordat opnieuw wordt verzonden? |
| Het verwijderde lid maakt later opnieuw verbinding | Kan het nieuwe afzendersleutels ontvangen of alleen oude inhoud waarvoor het bevoegd was? |
| Meerdere lidmaatschappen veranderen tegelijk | Bereiken alle overgebleven apparaten dezelfde toestand? |
| Een oud bericht wordt opnieuw geprobeerd | Blijft het oorspronkelijke epoch behouden in plaats van het ten onrechte als nieuwe inhoud te bestempelen? |
Een test van alleen de interface kan zichtbaar gedrag bevestigen, maar kan op zichzelf geen cryptografische uitsluiting bewijzen. Een grondige beoordeling moet onderzoeken welke sleutels en cijfertekst een uitgesloten testapparaat kan verkrijgen.
Wat beheerders moeten onthouden
Verwijder onnodige deelnemers, controleer de overgebleven leden en verstuur geen nieuw gevoelig materiaal totdat de toepassing de wijziging heeft verwerkt. Als een huidige deelnemer bewust inhoud doorstuurt, kan het vernieuwen van groepssleutels die openbaarmaking niet voorkomen.
Vraag bij zeer gevoelig gebruik de aanbieder naar de precieze betekenis van verwijdering, het gedrag bij apparaatintrekking en testbewijs. De belangrijke belofte is een duidelijk afgebakende grens voor toekomstige berichten, niet een onbewezen bewering dat een verwijderknop elke eerdere kopie vernietigt.
