本文を一度だけ暗号化しても、鍵配布と全メンバーへのメッセージ配信のコストはなくなりません。
「送信者鍵」（Sender Key）アーキテクチャでは、送信者が同じ本文をグループの各メンバー向けに個別に暗号化する必要はありません。各送信者は自分専用の鍵チェーンを持ち、そのメッセージを読むために必要な鍵を安全な経路で権限のあるメンバーに渡します。この方式は本文の暗号化コストを減らしますが、鍵の配布、メッセージの配信、メンバー管理のコストは残ります。
Livara では LGS1 をどう説明しているか？
Livara のセキュリティ文書によると、LGS1 は E2EE モードの対応する非公開グループのメッセージに、送信者ごとの個別のチェーンと署名鍵を使用します。送信者鍵は二者間の LVR1 セッションで配布され、その後、チェーンの各位置に対するメッセージ鍵が導出されます。文書にはメンバーの参加や退出後の鍵のローテーションも記載されています。これは製品アーキテクチャの説明であり、本記事による性能試験や独立監査の結果ではありません。
グループメッセージの流れを段階ごとに見る
- **メンバーの準備：**端末は受信者の暗号学的なアイデンティティと、権限のあるメンバーであることを確認する必要があります。
- **送信者鍵の配布：**必要な情報を非公開セッション経由でメンバーに届けます。大規模グループでは、この段階は無コストでもメンバー数に無関係でもありません。
- **メッセージ鍵の導出：**異なる本文を同じメッセージ鍵で暗号化しないように、チェーンを進めます。
- **暗号化と真正性の確認：**本文を暗号化し、受信者はメッセージの真正性と送信者のアイデンティティを確認する必要があります。
- **メンバー変更：**次のエポックの鍵は、残っている権限のあるメンバーだけが入手できるようにしなければなりません。
「送信者鍵」を、すべてのメッセージに一つの AES 鍵を永続的に使うことと同一視してはいけません。チェーンの状態、メッセージ番号、鍵のエポックは安全な設計の一部です。
減るコストと残るコストは何か？
| 処理の部分 | 送信者鍵アーキテクチャの効果 |
|---|---|
| 通常のメッセージの内容の暗号化 | 受信者ごとに別の暗号化コピーを作る代わりに、一度で実行できる |
| 初期鍵や新しい鍵の配布 | 権限のあるメンバーを網羅する必要があり、メンバー数と端末数が重要になる |
| 全メンバーへのネットワーク送信 | 引き続き受信者へのデータ配信が必要になる |
| メンバーの退出とオフライン端末 | エポック管理、調整、エラー時の明確な動作が必要になる |
したがって、「グループ全体のコストが O(N) から O(1) になる」という表現は正確ではありません。特定の処理については言えても、ネットワーク全体については言えません。速度、バッテリー消費、データ消費も、特定のアプリのバージョン、メンバー数、端末で測定する必要があります。
耐量子保護はどこに関わるのか？
Livara はグループ鍵の配布をハイブリッド LVR1 セッションと関連付けています。耐量子コンポーネントが存在するだけでは、グループのすべての特性を証明できません。鍵の組み合わせ、署名、状態の保持、メンバー資格の検証も重要です。アルゴリズムの標準化と、メッセンジャー全体の安全性が認められることは別です。
アーキテクチャを比較する際、MLS に関する RFC 9420 は正式なグループ鍵管理仕様の一例です。LGS1 を MLS そのもの、あるいはその実装として紹介してはいけません。それぞれの保証は、そのプロトコル自体の仕様と証拠から読み取る必要があります。
非公開グループを信頼する前に何を確認するか？
- グループ自体が本当にエンドツーエンド暗号化モードになっていますか？ Livara の文書では、互換性のない古いグループに根拠なく暗号化の表示を付けるべきではないとしています。
- 誰がメンバーを追加でき、メンバーは変更をどのように知りますか？
- 新しいメンバーは過去の履歴にアクセスできますか、それとも今後のメッセージだけですか？ 使用するアプリのそのバージョンで答えを確認してください。
- メンバーを削除した後、鍵のエポックは変わりますか？ 一覧からの削除だけでは、鍵が更新された証拠にはなりません。
- 現在のメンバーはメッセージをコピーできますか？ はい。暗号化しても、受信者を信頼する必要はなくなりません。
よくある質問
メンバーを削除すると、その人の古いメッセージも消えますか？
いいえ。鍵のローテーションは今後のアクセスを制限するためのものです。すでに受信または保存されたコピーが、削除されたメンバーの端末から必ず消えるわけではありません。
ネットワークが完全に切断されても LGS1 はメッセージを届けますか？
暗号化は通信経路を作りません。メッセージの配信には端末がサービスとネットワーク経路にアクセスできる必要があります。内容の安全性と可用性は区別してください。
サーバーはグループについて何も知らないのでしょうか？
Livara が公表する境界によると、内容の機密性は運用情報がすべて隠されることを意味しません。グループを選ぶ際には、メンバー資格とメタデータに関する方針も読んでください。
