קידום שרשרת בכל הודעה ורענון תקופה פוסט־קוונטית פותרים חלקים שונים של בעיית הראצ׳ט.
ראצ׳ט פוסט־קוונטי היברידי מעדכן מפתחות הודעות באמצעות חומר קלאסי ופוסט־קוונטי גם יחד. המטרה היא לשמור על ההגנה, תחת הנחות שהוגדרו בקפידה, אם רכיב אחד נעשה פגיע, ובמקביל להגביל לאורך זמן את הנזק של פגיעות מסוימות בסודיות המפתחות.
Livara מתעדת גישה זו עבור LVR1 באמצעות P-256 ו-ML-KEM-768. כדי להבין את התכנון יש להפריד בין ביסוס המפתחות הראשוני, עדכונים רגילים של שרשרת ההודעות ורענונים פוסט־קוונטיים תקופתיים. אלה אינם אותה פעולה שמתבצעת בכל הודעה.
מסוד משותף למפתחות הודעות משתנים
מנגנון לביסוס מפתחות מעניק למשתתפים חומר סודי שבו ניתן להשתמש בתהליך גזירת המפתחות. לאחר מכן פרוטוקול ראצ׳ט מפתח את המצב וגוזר מפתחות הודעות, במקום לשמור מפתח תוכן אחד ללא שינוי לאורך כל השיחה.
NIST FIPS 203 מגדיר את ML-KEM, לרבות מערך הפרמטרים ML-KEM-768. הוא מבסס סוד משותף; צופן מאומת כגון AES-GCM מצפין את מטען ההודעה. האימות והדרך שבה הרכיבים משולבים שייכים לפרוטוקול הרחב יותר.
סקירת האבטחה של Livara מתארת ביסוס היברידי, שורשים קלאסיים ופוסט־קוונטיים עצמאיים, שרשראות שליחה וקבלה חד־כיווניות שמתקדמות עם ההודעות, ועדכוני תקופות ML-KEM מחזוריים. לפי התיאור, מפתח הודעה משולב עם השורש הפוסט־קוונטי הנוכחי לפני הגנת התוכן והכותרת.
אין לנסח זאת מחדש כ״בכל הודעה מתבצעים חילופי P-256 חדשים וכימוס ML-KEM חדש״. קידום שרשרת יכול להיות שלב גזירת מפתח זול יחסית.
מה משתנה בתקופה
תקופה היא פרק של מצב הפרוטוקול הקשור לרענון מסוים. תזמון הודעות ביסוס מפתחות גדולות יותר על פני תקופות יכול לצמצם תקורת תקשורת חוזרת, אך גם הופך את כללי הרענון לרלוונטיים לאבטחה.
על הבודק לשאול:
- מה מפעיל תקופה חדשה: מונה, זמן, פעולה של הצד השני או תנאי אחר?
- כיצד מאומתים מזהי התקופות וחומר המפתחות?
- מה קורה להודעות שהתעכבו, הוכפלו או הגיעו שלא לפי הסדר?
- כיצד לקוח מטפל בעדכון חסר או בצד שני ישן יותר שאינו תואם?
- אילו סודות ישנים נשמרים לצורך מסירה מאוחרת, ומתי הם נמחקים?
מימוש זקוק לתשובות מדויקות. המילה ״תקופתי״ לבדה אינה מפרט מלא להתאוששות או לתאימות הדדית.
כימות גדלי רכיבי היסוד בלי להמציא מבחן ביצועים
FIPS 203 קובע עבור ML-KEM-768 גודל מפתח כימוס של 1,184 בתים וגודל טקסט מוצפן של 1,088 בתים. אלה קידודים של רכיבי יסוד, לא הגודל הכולל של הודעת Livara או של לחיצת יד. כותרות הפרוטוקול, חתימות, מסגור והתדירות שבה נשלח כל ערך הם שקובעים את התעבורה בפועל.
גם גדלי מפתחות P-256 תלויים בייצוג. למשל, לנקודת עקום דחוסה ולנקודה לא דחוסה אורכי קידוד שונים. השוואת ״גודל מפתח P-256״ שאינו מוגדר במדויק לטקסט מוצפן של ML-KEM אינה ניתוח מלא של רוחב הפס.
כדי להעריך את עלות הראצ׳ט, מדדו בתים לכל שיחה ותקופה, זמן CPU, זיכרון, התעוררויות של רכיב הרדיו והשהיה מקצה לקצה במכשירים מייצגים. דווחו על תנאי הבנייה והרשת. בלי מדידות אלה אין הצדקה ל״השפעה זניחה על הסוללה״ או לזמן ביצוע אוניברסלי של פחות מאלפית שנייה.
סודיות קדימה והתאוששות לאחר פגיעה
סודיות קדימה נועדה להגן על הודעות קודמות לאחר חשיפת סודות מאוחרים מסוימים, בתנאי שהסודות הישנים הנדרשים נמחקו. אבטחה לאחר פגיעה עוסקת בהשבת ההגנה לאחר שתוקף כבר אינו שולט בנקודת הקצה וחומר סודי טרי שאינו ידוע לו נכנס לפרוטוקול.
מפרט Double Ratchet מסביר את ההבחנות האלה ואת מגבלות ההתאוששות מפריצה. גישה מתמשכת של נוזקה, מניפולציה באקראיות או תוקף פעיל השולט בחילופים הרלוונטיים עלולים לסכל את ההתאוששות המצופה. שליחת הודעה נוספת אינה מוכיחה שהפעלה שנגנבה בוטלה או שטלפון שנפרץ נוקה.
מבנה היברידי זקוק גם לאימות ולשילוב תקינים. ״התוקף חייב לשבור את שני האלגוריתמים״ הוא מאפיין מכוון תחת הנחות המבנה, ולא אמירה בלתי מותנית שמכסה באגים במימוש או נקודות קצה זדוניות.
השאירו את גבולות התכונות גלויים
בתיעוד Livara, מפתחות שולחים של קבוצות LGS1 מופצים באמצעות הפעלות LVR1 זוגיות. אין פירוש הדבר ששרשרת שולח בקבוצה זהה במבנה לראצ׳ט כפול של צ׳אט ישיר. עמוד האבטחה הנוכחי גם מחריג קבוצות ישנות שאינן תואמות מ-E2EE ודורש שהחברים יהיו מוכנים לפני יצירת קבוצה מוצפנת חדשה.
לקבצים מצורפים יש מפתחות תוכן משלהם המועברים בתוך השיחה המוגנת. שיחות קוליות או וידאו והקלטה אופציונלית בשרת דורשות בחינה נפרדת; אין להסיק הגנה פוסט־קוונטית על המדיה רק מפני שנתיב האיתות משתמש בהפעלה היברידית. ערוצים ציבוריים ומטא־נתונים תפעוליים נמצאים מחוץ לסודיות התוכן הפרטי.
מה יחזק את הביטחון?
חפשו מפרט עם גרסאות, בדיקות תאימות הדדית ומקרי כשל, בחינה עצמאית וקשר ברור בין קוד המקור שנבדק ללקוח המופץ. אלגוריתמים תקניים הם ראיה מועילה לגבי רכיבים, לא אישור לתקינות השילוב שלהם.
Proof Lab של Livara מדגים רכיבי יסוד קלאסיים נבחרים ומחריג במפורש את השילוב המלא של LVR1/LGS1 מסביבת הבדיקה המקומית הזו. מודל האיומים שלה נשאר הקשר חיוני. יחד החומרים האלה מסייעים לנסח שאלות; אין להציג אותם כתחליף להערכה מלאה של הפרוטוקול והמימוש.
