Ett kedjesteg per meddelande och en uppdatering av en postkvantepok löser olika delar av ratchetproblemet.
En hybrid postkvant-ratchet uppdaterar meddelandenycklar med både klassiskt och postkvantmaterial. Målet är att behålla skyddet under noggrant definierade antaganden om en komponent blir sårbar, samtidigt som skadan av vissa nyckelkomprometteringar begränsas över tid.
Livara dokumenterar detta tillvägagångssätt för LVR1 med P-256 och ML-KEM-768. För att förstå konstruktionen måste man skilja mellan inledande nyckeletablering, vanliga uppdateringar av meddelandekedjan och periodiska postkvantuppdateringar. Det är inte samma operation som utförs för varje meddelande.
Från en delad hemlighet till föränderliga meddelandenycklar
En mekanism för nyckeletablering ger deltagarna hemligt material som de kan använda i ett nyckelhärledningsschema. Ett ratchetprotokoll utvecklar sedan tillståndet och härleder meddelandenycklar, i stället för att behålla en oförändrad innehållsnyckel för hela samtalet.
NIST FIPS 203 specificerar ML-KEM, inklusive parameteruppsättningen ML-KEM-768. Det etablerar en delad hemlighet; ett autentiserat chiffer som AES-GCM krypterar meddelandets nyttolast. Autentisering och sättet att kombinera komponenterna hör till det övergripande protokollet.
Livaras säkerhetsöversikt beskriver hybrid etablering, oberoende klassiska och postkvantrötter, enkelriktade sändnings- och mottagningskedjor som går framåt med meddelandena samt periodiska ML-KEM-epokuppdateringar. Där anges att en meddelandenyckel kombineras med den aktuella postkvantroten innan innehåll och rubrik skyddas.
Den beskrivningen bör inte skrivas om till ”ett nytt P-256-utbyte och en ny ML-KEM-inkapsling sker för varje meddelande”. Ett steg framåt i kedjan kan vara ett relativt billigt nyckelhärledningssteg.
Vad en epok förändrar
En epok är en period av protokolltillstånd som hör till en viss uppdatering. Att fördela större meddelanden för nyckeletablering mellan epoker kan minska återkommande kommunikationsoverhead, men gör också uppdateringsreglerna relevanta för säkerheten.
En granskare bör fråga:
- Vad utlöser en ny epok: en räknare, tid, en åtgärd hos motparten eller något annat villkor?
- Hur autentiseras epokidentifierare och nyckelmaterial?
- Vad händer med försenade, duplicerade eller felordnade meddelanden?
- Hur hanterar en klient en saknad uppdatering eller en äldre inkompatibel motpart?
- Vilka gamla hemligheter behålls för försenad leverans, och när kastas de bort?
En implementation behöver exakta svar. Enbart ordet ”periodisk” är inte en fullständig specifikation för återhämtning eller interoperabilitet.
Kvantifiera primitivernas storlek utan att hitta på ett prestandatest
FIPS 203 anger en inkapslingsnyckel på 1 184 byte och en chiffertext på 1 088 byte för ML-KEM-768. Detta är primitivernas kodningar, inte den totala storleken på ett Livara-meddelande eller en handskakning. Protokollrubriker, signaturer, inramning och hur ofta varje värde skickas avgör den faktiska trafiken.
Storleken på P-256-nycklar beror också på representationen. Till exempel har en komprimerad och en okomprimerad kurvpunkt olika kodade längder. Att jämföra en ospecificerad ”P-256-nyckelstorlek” med en ML-KEM-chiffertext är inte en fullständig bandbreddsanalys.
För att utvärdera kostnaden för en ratchet bör man mäta byte per samtal och epok, CPU-tid, minne, radiouppvaknanden och änd-till-änd-latens på representativa enheter. Redovisa bygg- och nätverksförhållandena. Utan dessa mätningar är varken ”försumbar batteripåverkan” eller en universell exekveringstid under en millisekund motiverad.
Framåtsekretess och återhämtning efter kompromettering
Framåtsekretess syftar till att skydda tidigare meddelanden efter att vissa senare hemligheter har röjts, förutsatt att de nödvändiga gamla hemligheterna har raderats. Säkerhet efter kompromettering handlar om att återfå skydd när en angripare inte längre kontrollerar ändpunkten och nytt hemligt material som angriparen inte känner till kommer in i protokollet.
Double Ratchet-specifikationen förklarar dessa skillnader och gränserna för återhämtning efter intrång. Fortsatt åtkomst via skadlig kod, manipulerad slumpmässighet eller en aktiv angripare som kontrollerar de relevanta utbytena kan omintetgöra den förväntade återhämtningen. Att skicka ytterligare ett meddelande bevisar inte att en stulen session har återkallats eller att en komprometterad telefon är ren.
En hybridkonstruktion behöver också korrekt autentisering och kombination. ”Angriparen måste knäcka båda algoritmerna” är en avsedd egenskap under konstruktionens antaganden, inte ett ovillkorligt påstående som täcker implementationsfel eller skadliga ändpunkter.
Håll funktionernas gränser synliga
I Livaras dokumentation distribueras LGS1-gruppers avsändarnycklar genom parvisa LVR1-sessioner. Det betyder inte att en gruppavsändarkedja strukturellt är identisk med en dubbel ratchet för direktchatt. Den aktuella säkerhetssidan undantar också äldre inkompatibla grupper från E2EE och kräver att medlemmarna är redo innan en ny krypterad grupp skapas.
Bilagor har egna innehållsnycklar som transporteras inuti det skyddade samtalet. Samtal och valfri serverinspelning kräver separat granskning; dra inte slutsatsen att medier har postkvantskydd bara för att en signaleringsväg använder en hybridsession. Offentliga kanaler och operativa metadata ligger utanför skyddet av privat innehålls konfidentialitet.
Vad skulle stärka förtroendet?
Leta efter en versionshanterad specifikation, interoperabilitets- och felfallstester, oberoende granskning och ett tydligt samband mellan granskad källkod och den levererade klienten. Standardalgoritmer ger användbara belägg om komponenter, inte certifiering av deras sammansättning.
Livaras Proof Lab demonstrerar utvalda klassiska primitiver och utesluter uttryckligen den fullständiga LVR1/LGS1-sammansättningen från det lokala testet. Dess hotmodell är fortfarande nödvändig kontext. Tillsammans hjälper materialen till att formulera frågor; de bör inte framställas som en ersättning för en fullständig bedömning av protokollet och implementationen.
