O avanço da cadeia por mensagem e a atualização de uma época pós-quântica resolvem partes diferentes do problema do ratchet.
Um ratchet híbrido pós-quântico atualiza as chaves das mensagens usando material clássico e pós-quântico. O objetivo é manter a proteção sob pressupostos cuidadosamente definidos se um componente se tornar vulnerável, limitando ao mesmo tempo os danos de determinados comprometimentos de chaves ao longo do tempo.
A Livara documenta essa abordagem para o LVR1 usando P-256 e ML-KEM-768. Compreender o projeto exige separar o estabelecimento inicial de chaves, as atualizações normais da cadeia de mensagens e as renovações pós-quânticas periódicas. Não são a mesma operação realizada em cada mensagem.
De um segredo compartilhado a chaves de mensagens que mudam
Um mecanismo de estabelecimento de chaves fornece aos participantes material secreto que podem usar em um esquema de derivação de chaves. Em seguida, um protocolo de ratchet evolui o estado e deriva chaves de mensagens, em vez de manter uma única chave de conteúdo inalterada durante toda a conversa.
O NIST FIPS 203 especifica o ML-KEM, incluindo o conjunto de parâmetros ML-KEM-768. Ele estabelece um segredo compartilhado; uma cifra autenticada, como AES-GCM, cifra o conteúdo da mensagem. A autenticação e a forma de combinar os componentes pertencem ao protocolo mais amplo.
A visão geral de segurança da Livara descreve o estabelecimento híbrido, raízes clássicas e pós-quânticas independentes, cadeias unidirecionais de envio e recebimento que avançam com as mensagens e atualizações periódicas de épocas ML-KEM. Ela afirma que uma chave de mensagem é combinada com a raiz pós-quântica atual antes da proteção do conteúdo e do cabeçalho.
Esse relato não deve ser reescrito como “uma nova troca P-256 e um novo encapsulamento ML-KEM ocorrem para cada mensagem”. Um avanço da cadeia pode ser uma etapa de derivação de chaves relativamente barata.
O que uma época muda
Uma época é um período de estado do protocolo associado a uma determinada renovação. Distribuir mensagens maiores de estabelecimento de chaves entre épocas pode reduzir a sobrecarga repetida de comunicação, mas também torna as regras de renovação relevantes para a segurança.
Um revisor deve perguntar:
- O que desencadeia uma nova época: um contador, o tempo, uma ação do interlocutor ou outra condição?
- Como os identificadores de época e o material de chaves são autenticados?
- O que acontece com mensagens atrasadas, duplicadas ou fora de ordem?
- Como um cliente lida com uma atualização ausente ou um interlocutor antigo e incompatível?
- Quais segredos antigos permanecem para entregas atrasadas e quando são descartados?
Uma implementação precisa de respostas precisas. A palavra “periódico”, por si só, não é uma especificação completa de recuperação ou interoperabilidade.
Quantificar os tamanhos das primitivas sem inventar um benchmark
O FIPS 203 atribui ao ML-KEM-768 uma chave de encapsulamento de 1.184 bytes e um texto cifrado de 1.088 bytes. Essas são codificações de primitivas, não o tamanho total de uma mensagem ou handshake da Livara. Cabeçalhos do protocolo, assinaturas, enquadramento e a frequência de envio de cada valor determinam o tráfego real.
Os tamanhos das chaves P-256 também dependem da representação. Por exemplo, um ponto de curva comprimido e um não comprimido têm comprimentos codificados diferentes. Comparar um “tamanho de chave P-256” sem especificação com um texto cifrado ML-KEM não é uma análise completa de largura de banda.
Para avaliar o custo de um ratchet, meça bytes por conversa e época, tempo de CPU, memória, ativações do rádio e latência de ponta a ponta em dispositivos representativos. Informe as condições de compilação e de rede. Sem essas medições, não se justifica nem um “impacto insignificante na bateria” nem um tempo de execução universal inferior a um milissegundo.
Sigilo futuro e recuperação após comprometimento
O sigilo futuro visa proteger mensagens anteriores após a exposição de determinados segredos posteriores, desde que os segredos antigos necessários tenham sido apagados. A segurança pós-comprometimento diz respeito à recuperação da proteção depois que um atacante deixa de controlar o dispositivo final e novo material secreto, desconhecido pelo atacante, entra no protocolo.
A especificação Double Ratchet explica essas distinções e os limites da recuperação após uma invasão. O acesso contínuo por malware, a aleatoriedade manipulada ou um atacante ativo que controla as trocas relevantes podem frustrar a recuperação esperada. Enviar mais uma mensagem não prova que uma sessão roubada foi revogada ou que um telefone comprometido está limpo.
Uma construção híbrida também precisa de autenticação e combinação corretas. “O atacante precisa quebrar os dois algoritmos” é uma propriedade pretendida sob os pressupostos da construção, não uma afirmação incondicional que abranja falhas de implementação ou dispositivos finais maliciosos.
Mantenha visíveis os limites dos recursos
Na documentação da Livara, as chaves de remetente dos grupos LGS1 são distribuídas por sessões LVR1 entre pares. Isso não significa que a cadeia de um remetente de grupo seja estruturalmente idêntica a um double ratchet de chat direto. A página atual de segurança também exclui grupos antigos e incompatíveis da E2EE e exige que os membros estejam prontos antes da criação de um novo grupo cifrado.
Os anexos têm suas próprias chaves de conteúdo, transportadas dentro da conversa protegida. Chamadas e gravação opcional no servidor exigem uma análise separada; não deduza proteção pós-quântica da mídia simplesmente porque um caminho de sinalização usa uma sessão híbrida. Canais públicos e metadados operacionais estão fora da confidencialidade de conteúdo privado.
O que reforçaria a confiança?
Procure uma especificação versionada, testes de interoperabilidade e de casos de falha, revisão independente e uma relação clara entre o código-fonte revisado e o cliente distribuído. Algoritmos padronizados são evidências úteis sobre componentes, não uma certificação de sua composição.
O Proof Lab da Livara demonstra primitivas clássicas selecionadas e exclui explicitamente a composição completa LVR1/LGS1 desse teste local. Seu modelo de ameaças continua sendo um contexto necessário. Juntos, esses materiais ajudam a formular perguntas; não devem ser apresentados como substituto de uma avaliação completa do protocolo e da implementação.
