Одноразове шифрування тексту не усуває витрат на розподіл ключів і доставлення повідомлення всім учасникам.
В архітектурі «ключ відправника», або Sender Key, відправнику не потрібно окремо шифрувати той самий текст для кожного учасника групи. Кожен відправник має власний ланцюжок ключів і передає ключ, потрібний для читання його повідомлень, уповноваженим учасникам захищеним шляхом. Це зменшує витрати на шифрування тексту; витрати на розподіл ключів, доставлення повідомлень і керування складом групи залишаються.
Як LGS1 описано в Livara?
Згідно з документацією з безпеки Livara, для повідомлень сумісних приватних груп у режимі E2EE LGS1 використовує окремий ланцюжок і ключ підпису кожного відправника. Ключі відправників розподіляються через парні сеанси LVR1; потім для кожної позиції ланцюжка виводиться ключ повідомлення. Документація також описує ротацію ключів після приєднання або виходу учасників. Це опис архітектури продукту, а не результат тесту продуктивності чи незалежного аудиту в цій статті.
Шлях групового повідомлення, крок за кроком
- Підготовка учасників: пристрій має перевірити криптографічну ідентичність одержувачів та їхнє право на участь у групі.
- Розподіл ключа відправника: потрібні відомості надходять до учасників через приватні сеанси. Для великої групи цей етап не є безкоштовним чи незалежним від кількості учасників.
- Виведення ключа повідомлення: ланцюжок рухається вперед, щоб різні тексти не шифрувалися тим самим ключем повідомлення.
- Шифрування й автентифікація: текст шифрується, а одержувач має перевірити справжність повідомлення та ідентичність відправника.
- Зміна складу: ключі наступної епохи мають бути доступні лише уповноваженим учасникам, які залишилися.
«Ключ відправника» не слід ототожнювати з постійним використанням одного ключа AES для всіх повідомлень. Стан ланцюжка, номер повідомлення та епоха ключа є складовими безпечної конструкції.
Які витрати зменшуються, а які залишаються?
| Частина роботи | Вплив архітектури ключа відправника |
|---|---|
| Шифрування вмісту звичайного повідомлення | Може виконуватися один раз замість окремої зашифрованої копії для кожного одержувача |
| Розподіл початкового чи нового ключа | Має охоплювати уповноважених учасників; кількість учасників і пристроїв має значення |
| Надсилання мережею всім учасникам | Як і раніше, потребує доставлення даних одержувачам |
| Вихід учасника та пристрій поза мережею | Потребують керування епохами, координації та чітко визначеної поведінки в разі помилок |
Тому твердження «загальні витрати групи зменшуються з O(N) до O(1)» неточне. Можна говорити про конкретну операцію, а не всю мережу. Швидкість, витрати батареї та даних також потрібно вимірювати для певної версії застосунку, кількості учасників і конкретних пристроїв.
Де з’являється постквантовий захист?
Livara пов’язує розподіл групових ключів із гібридними сеансами LVR1. Наявність постквантового компонента сама по собі не доводить усіх властивостей групи: важливі також поєднання ключів, підписи, зберігання стану та перевірка членства. Стандартизація алгоритму відрізняється від підтвердження безпеки всього месенджера.
Для порівняння архітектур RFC 9420 про MLS є прикладом формальної специфікації керування груповими ключами. Не можна представляти LGS1 як MLS або його реалізацію; гарантії кожного протоколу слід визначати за його власними специфікаціями та доказами.
Що перевірити, перш ніж довіряти приватній групі?
- Чи справді сама група працює в режимі наскрізного шифрування? Документація Livara зазначає, що стару несумісну групу не можна безпідставно позначати як зашифровану.
- Хто може додавати учасників і як інші дізнаються про зміну?
- Чи отримує новий учасник доступ до попередньої історії або лише до майбутніх повідомлень? Перевірте відповідь саме для використовуваної версії застосунку.
- Чи змінюється епоха ключа після видалення учасника? Саме видалення зі списку не доводить зміни ключа.
- Чи можуть нинішні учасники копіювати повідомлення? Так; шифрування не усуває потреби довіряти одержувачу.
Поширені запитання
Чи видаляє виключення учасника його старі повідомлення?
Ні. Ротація ключів призначена для обмеження майбутнього доступу; раніше отримана або збережена копія не обов’язково зникає з пристрою виключеного учасника.
Чи доставляє LGS1 повідомлення за повного відключення мережі?
Шифрування не створює каналу зв’язку. Доставлення повідомлень потребує доступу пристроїв до сервісу та мережевого маршруту; відокремлюйте безпеку вмісту від доступності.
Чи означає це, що сервер нічого не знає про групу?
Згідно із заявленими межами Livara, конфіденційність вмісту не означає прихованості всіх операційних відомостей. Обираючи групу, прочитайте також правила членства та політику щодо метаданих.
