메시지별 체인 진행과 양자 내성 에포크 갱신은 래칫 문제의 서로 다른 부분을 해결합니다.
하이브리드 양자 내성 래칫은 고전 및 양자 내성 재료를 함께 사용하여 메시지 키를 갱신합니다. 목표는 신중하게 정의된 가정 아래 한 구성 요소가 취약해져도 보호를 유지하면서, 특정 키 침해로 인한 피해가 시간에 따라 퍼지는 범위를 제한하는 것입니다.
Livara는 P-256과 ML-KEM-768을 사용하는 LVR1에서 이러한 접근 방식을 문서화합니다. 설계를 이해하려면 초기 키 설정, 일반적인 메시지 체인 갱신, 주기적인 양자 내성 새로 고침을 구분해야 합니다. 이들은 모든 메시지마다 수행하는 동일한 작업이 아닙니다.
공유 비밀에서 변화하는 메시지 키로
키 설정 메커니즘은 참여자에게 키 스케줄에 사용할 수 있는 비밀 재료를 제공합니다. 이후 래칫 프로토콜은 대화 전체에 변하지 않는 하나의 콘텐츠 키를 유지하는 대신, 상태를 진전시키고 메시지 키를 도출합니다.
NIST FIPS 203은 ML-KEM-768 매개변수 집합을 포함한 ML-KEM을 규정합니다. 이것은 공유 비밀을 설정하며, 메시지 페이로드는 AES-GCM 같은 인증 암호가 암호화합니다. 인증과 구성 요소의 결합 방식은 더 넓은 프로토콜에 속합니다.
Livara의 보안 개요는 하이브리드 설정, 독립적인 고전 및 양자 내성 루트, 메시지에 따라 진행되는 단방향 송수신 체인, 주기적인 ML-KEM 에포크 갱신을 설명합니다. 콘텐츠와 헤더를 보호하기 전에 메시지 키를 현재 양자 내성 루트와 결합한다고 명시합니다.
이 설명을 “메시지마다 새로운 P-256 교환과 새로운 ML-KEM 캡슐화가 발생한다”로 바꾸어서는 안 됩니다. 체인 진행은 비교적 저렴한 키 도출 단계일 수 있습니다.
에포크가 바꾸는 것
에포크는 특정 새로 고침과 관련된 프로토콜 상태의 기간입니다. 더 큰 키 설정 메시지를 여러 에포크에 걸쳐 배치하면 반복되는 통신 오버헤드를 줄일 수 있지만, 그만큼 갱신 규칙도 보안에 중요해집니다.
검토자는 다음을 물어야 합니다.
- 새 에포크를 촉발하는 것은 카운터, 시간, 상대방의 행동, 아니면 다른 조건인가요?
- 에포크 식별자와 키 재료는 어떻게 인증되나요?
- 지연되거나 중복되거나 순서가 뒤바뀐 메시지는 어떻게 되나요?
- 클라이언트는 누락된 갱신이나 호환되지 않는 구형 상대 클라이언트를 어떻게 처리하나요?
- 지연 전달을 위해 어떤 이전 비밀을 보관하며, 언제 폐기하나요?
구현에는 정확한 답이 필요합니다. “주기적”이라는 단어만으로는 완전한 복구 또는 상호 운용성 명세가 되지 않습니다.
벤치마크를 지어내지 않고 기본 요소 크기 정량화하기
FIPS 203에서 ML-KEM-768의 캡슐화 키 크기는 1,184바이트이고 암호문 크기는 1,088바이트입니다. 이는 기본 요소의 인코딩 크기이지 Livara 메시지나 핸드셰이크 전체 크기가 아닙니다. 실제 트래픽은 프로토콜 헤더, 서명, 프레이밍, 각 값의 전송 빈도에 의해 결정됩니다.
P-256 키 크기도 표현 방식에 따라 다릅니다. 예를 들어 압축된 곡선 점과 압축되지 않은 점의 인코딩 길이는 다릅니다. 표현 방식이 표시되지 않은 “P-256 키 크기”를 ML-KEM 암호문과 비교하는 것은 완전한 대역폭 분석이 아닙니다.
래칫 비용을 평가하려면 대표적인 장치에서 대화별·에포크별 바이트 수, CPU 시간, 메모리, 무선 모듈 활성화 횟수, 종단 간 지연 시간을 측정해야 합니다. 빌드 및 네트워크 조건도 보고해야 합니다. 이런 측정 없이는 “배터리 영향이 무시할 만하다”거나 모든 환경에서 실행 시간이 1밀리초 미만이라는 주장을 정당화할 수 없습니다.
전방향 보안과 침해 후 복구
전방향 보안은 필요한 이전 비밀이 삭제되었다는 전제하에, 지정된 이후 비밀이 노출된 뒤에도 이전 메시지를 보호하는 것을 목표로 합니다. 침해 후 보안은 공격자가 더 이상 엔드포인트를 통제하지 않고 공격자가 모르는 새로운 비밀 재료가 프로토콜에 유입된 뒤 보호를 회복하는 것에 관한 개념입니다.
Double Ratchet 명세는 이러한 구분과 침입 후 복구의 한계를 설명합니다. 악성코드의 지속적인 접근, 조작된 난수, 관련 교환을 통제하는 능동 공격자는 기대한 복구를 무력화할 수 있습니다. 메시지를 하나 더 보냈다고 해서 도난당한 세션이 폐기되었거나 침해된 휴대전화가 정리되었다고 입증되는 것은 아닙니다.
하이브리드 구성에도 건전한 인증과 결합 방식이 필요합니다. “공격자는 두 알고리즘을 모두 깨야 한다”는 것은 구성의 가정 아래 의도된 속성이지, 구현 버그나 악의적인 엔드포인트까지 포괄하는 무조건적인 진술이 아닙니다.
기능의 경계를 명확히 유지하기
Livara 문서에서 LGS1 그룹 발신자 키는 쌍별 LVR1 세션을 통해 배포됩니다. 그렇다고 그룹 발신자 체인이 직접 채팅의 이중 래칫과 구조적으로 동일하다는 뜻은 아닙니다. 현재 보안 페이지는 호환되지 않는 구형 그룹을 E2EE에서 제외하며, 새 암호화 그룹을 만들기 전에 구성원들이 준비되어 있어야 한다고 요구합니다.
첨부파일에는 자체 콘텐츠 키가 있으며, 이 키는 보호된 대화 안에서 전달됩니다. 통화와 선택적인 서버 녹음은 별도 검토가 필요합니다. 신호 경로가 하이브리드 세션을 사용한다는 이유만으로 미디어에 양자 내성 보호가 적용된다고 추론해서는 안 됩니다. 공개 채널과 운영 메타데이터는 비공개 콘텐츠 기밀성의 범위 밖에 있습니다.
무엇이 신뢰를 높일까요?
버전이 명시된 명세, 상호 운용성 및 실패 사례 테스트, 독립적인 검토, 검토된 소스와 배포된 클라이언트 사이의 명확한 관계를 확인해야 합니다. 표준 알고리즘은 구성 요소에 관한 유용한 증거이지, 그 조합에 대한 인증은 아닙니다.
Livara의 Proof Lab은 선택된 고전 암호 기본 요소를 시연하며, 로컬 벤치에서 완전한 LVR1/LGS1 구성을 명시적으로 제외합니다. 위협 모델도 여전히 필요한 맥락입니다. 이 자료들은 함께 질문을 구체화하는 데 도움이 되지만, 완전한 프로토콜 및 구현 평가의 대체물로 제시해서는 안 됩니다.
