Bước tiến chuỗi cho từng tin nhắn và việc làm mới epoch hậu lượng tử giải quyết những phần khác nhau của bài toán ratchet.
Ratchet hậu lượng tử lai cập nhật khóa nhắn tin bằng cả vật liệu cổ điển lẫn hậu lượng tử. Mục tiêu là duy trì khả năng bảo vệ theo những giả định được xác định cẩn thận nếu một thành phần trở nên dễ bị tấn công, đồng thời hạn chế thiệt hại của một số trường hợp lộ khóa cụ thể theo thời gian.
Livara mô tả cách tiếp cận này cho LVR1 bằng P-256 và ML-KEM-768. Để hiểu thiết kế, cần phân biệt việc thiết lập khóa ban đầu, cập nhật chuỗi tin nhắn thông thường và làm mới hậu lượng tử định kỳ. Chúng không phải cùng một thao tác được thực hiện với mọi tin nhắn.
Từ bí mật chung đến các khóa tin nhắn thay đổi
Cơ chế thiết lập khóa cung cấp cho các bên vật liệu bí mật mà họ có thể dùng trong quy trình dẫn xuất khóa. Sau đó, giao thức ratchet phát triển trạng thái và dẫn xuất khóa tin nhắn, thay vì giữ nguyên một khóa nội dung cho toàn bộ cuộc trò chuyện.
NIST FIPS 203 quy định ML-KEM, bao gồm bộ tham số ML-KEM-768. Nó thiết lập một bí mật chung; thuật toán mã hóa có xác thực như AES-GCM mã hóa tải nội dung tin nhắn. Việc xác thực và cách kết hợp các thành phần thuộc về giao thức rộng hơn.
Tổng quan bảo mật của Livara mô tả việc thiết lập lai, các gốc cổ điển và hậu lượng tử độc lập, chuỗi gửi/nhận một chiều tiến theo tin nhắn và cập nhật epoch ML-KEM định kỳ. Tài liệu cho biết khóa tin nhắn được kết hợp với gốc hậu lượng tử hiện tại trước khi bảo vệ nội dung và phần đầu.
Không nên viết lại mô tả đó thành “mỗi tin nhắn đều có một lần trao đổi P-256 mới và một lần đóng gói ML-KEM mới”. Một bước tiến chuỗi có thể là bước dẫn xuất khóa tương đối ít tốn kém.
Một epoch thay đổi điều gì
Epoch là một giai đoạn trạng thái giao thức gắn với một lần làm mới cụ thể. Việc phân bổ các thông điệp thiết lập khóa lớn hơn qua các epoch có thể giảm chi phí truyền thông phụ trội lặp lại, nhưng cũng khiến quy tắc làm mới trở thành yếu tố liên quan đến bảo mật.
Người đánh giá nên hỏi:
- Điều gì kích hoạt epoch mới: bộ đếm, thời gian, hành động của phía đối tác hay điều kiện khác?
- Mã định danh epoch và vật liệu khóa được xác thực như thế nào?
- Điều gì xảy ra với tin nhắn bị trễ, trùng lặp hoặc đến sai thứ tự?
- Ứng dụng khách xử lý bản cập nhật bị thiếu hoặc đối tác cũ không tương thích ra sao?
- Những bí mật cũ nào được giữ lại để phục vụ việc chuyển phát trễ, và khi nào chúng bị loại bỏ?
Một triển khai cần những câu trả lời chính xác. Chỉ từ “định kỳ” không phải là đặc tả đầy đủ về khôi phục hoặc khả năng tương tác.
Định lượng kích thước nguyên thủy mà không bịa ra phép đo hiệu năng
FIPS 203 quy định ML-KEM-768 có khóa đóng gói dài 1.184 byte và bản mã dài 1.088 byte. Đây là dạng mã hóa của các nguyên thủy, không phải tổng kích thước của một tin nhắn hay quá trình bắt tay Livara. Phần đầu giao thức, chữ ký, việc đóng khung và tần suất gửi từng giá trị quyết định lưu lượng thực tế.
Kích thước khóa P-256 cũng phụ thuộc vào cách biểu diễn. Ví dụ, một điểm đường cong dạng nén và một điểm không nén có độ dài mã hóa khác nhau. So sánh một “kích thước khóa P-256” không ghi rõ dạng biểu diễn với bản mã ML-KEM không phải là phân tích băng thông đầy đủ.
Để đánh giá chi phí của ratchet, hãy đo số byte trên mỗi cuộc trò chuyện và epoch, thời gian CPU, bộ nhớ, số lần đánh thức bộ thu phát vô tuyến và độ trễ đầu cuối trên các thiết bị đại diện. Báo cáo điều kiện bản dựng và mạng. Không có các phép đo đó thì không thể biện minh cho “tác động không đáng kể đến pin” hay thời gian thực thi dưới một mili giây áp dụng chung.
Bí mật chuyển tiếp và khôi phục sau xâm phạm
Bí mật chuyển tiếp nhằm bảo vệ các tin nhắn trước đó sau khi những bí mật về sau được chỉ định bị lộ, với điều kiện các bí mật cũ cần thiết đã được xóa. Bảo mật sau xâm phạm liên quan đến việc lấy lại khả năng bảo vệ sau khi kẻ tấn công không còn kiểm soát thiết bị đầu cuối và vật liệu bí mật mới mà kẻ tấn công không biết được đưa vào giao thức.
Đặc tả Double Ratchet giải thích những khác biệt này và giới hạn của khả năng khôi phục sau xâm nhập. Việc mã độc tiếp tục có quyền truy cập, tính ngẫu nhiên bị thao túng hoặc kẻ tấn công chủ động kiểm soát các trao đổi liên quan có thể làm thất bại khả năng khôi phục mong đợi. Gửi thêm một tin nhắn không chứng minh rằng phiên bị đánh cắp đã bị thu hồi hoặc điện thoại bị xâm phạm đã sạch.
Cấu trúc lai cũng cần xác thực và kết hợp đúng đắn. “Kẻ tấn công phải phá được cả hai thuật toán” là thuộc tính dự kiến theo các giả định của cấu trúc, không phải tuyên bố vô điều kiện bao quát cả lỗi triển khai hay thiết bị đầu cuối độc hại.
Luôn làm rõ ranh giới tính năng
Trong tài liệu Livara, khóa người gửi của nhóm LGS1 được phân phối qua các phiên LVR1 từng cặp. Điều đó không có nghĩa chuỗi người gửi nhóm có cấu trúc giống hệt double ratchet của trò chuyện trực tiếp. Trang bảo mật hiện tại cũng loại các nhóm cũ không tương thích khỏi E2EE và yêu cầu các thành viên sẵn sàng trước khi tạo nhóm mã hóa mới.
Tệp đính kèm có khóa nội dung riêng được chuyển bên trong cuộc trò chuyện được bảo vệ. Cuộc gọi và tùy chọn ghi âm trên máy chủ cần được đánh giá riêng; đừng suy ra rằng phương tiện truyền thông được bảo vệ hậu lượng tử chỉ vì đường báo hiệu dùng phiên lai. Kênh công khai và siêu dữ liệu vận hành nằm ngoài phạm vi bảo mật nội dung riêng tư.
Điều gì sẽ củng cố niềm tin?
Hãy tìm đặc tả có phiên bản, kiểm thử khả năng tương tác và tình huống lỗi, đánh giá độc lập và mối liên hệ rõ ràng giữa mã nguồn đã được đánh giá với ứng dụng khách được phân phối. Thuật toán tiêu chuẩn là bằng chứng hữu ích về các thành phần, không phải chứng nhận cho cách chúng kết hợp.
Proof Lab của Livara minh họa các nguyên thủy cổ điển được chọn và nêu rõ rằng tổ hợp LVR1/LGS1 đầy đủ nằm ngoài phép đo cục bộ đó. Mô hình đe dọa của Livara vẫn là bối cảnh cần thiết. Những tài liệu này cùng giúp định hình câu hỏi; không nên trình bày chúng như sự thay thế cho đánh giá đầy đủ về giao thức và triển khai.
