Ein Protokollname ist kein Sicherheitsnachweis: Entscheidend sind Architektur, Implementierung und das tatsächliche Verhalten beim Wechsel von Mitgliedern und Schlüsseln.
Messaging Layer Security (MLS) und Livaras LGS1 sind keine zwei austauschbaren Zertifikate für sichere Gruppenchats. MLS ist ein IETF-Protokollstandard; LGS1 ist Livaras dokumentierter produktspezifischer Entwurf. Ein fairer Vergleich trennt Architektur, Implementierungsnachweise und das Verhalten, das Nutzer tatsächlich erleben.
Der wesentliche Unterschied liegt zwischen einem baumbasierten gemeinsamen Gruppenzustand und Senderschlüsseln, die über paarweise Sitzungen verteilt werden. Keine der beiden Bezeichnungen sagt für sich genommen aus, ob eine bestimmte Anwendung ausgeschlossene Mitglieder, veraltete Geräte oder kompromittierte Schlüssel korrekt behandelt.
Der architektonische Unterschied
RFC 9420 spezifiziert MLS für die asynchrone Einrichtung von Gruppenschlüsseln. Es verwendet einen Ratchet-Baum und Gruppenepochen und bietet unter festgelegten Bedingungen Forward Secrecy und Post-Compromise Security. Die Baumstruktur reduziert bestimmte Kosten für Schlüsselaktualisierungen bei wachsender Gruppengröße.
Livaras Sicherheitsdokumentation beschreibt LGS1 als signierte Senderkette für jedes Mitglied, die über paarweise LVR1-Sitzungen verteilt und bei Änderungen der Mitgliedschaft rotiert wird. Das ist eine Produktaussage, kein Nachweis dafür, dass LGS1 MLS entspricht oder dieselbe Analyse besitzt.
| Frage | MLS | Livara-LGS1-Dokumentation |
|---|---|---|
| Gemeinsame Struktur | Ratchet-Baum und Epochen | Ketten pro Absender |
| Schlüsselaktualisierungen | Änderungen des Gruppenzustands werden in einer neuen Epoche festgeschrieben | Neue Senderschlüssel werden an Mitglieder verteilt |
| Status der Spezifikation | IETF-Standard, RFC9420 | Veröffentlichte produktspezifische Beschreibung |
| Was noch bewertet werden muss | Anwendungsintegration und Implementierung | Vollständige Spezifikation, Implementierung und unabhängige Nachweise |
Diese Tabelle beschreibt Entwurfskategorien. Sie ist weder ein Benchmark noch eine Sicherheitsrangliste.
Was „logarithmisch“ bedeutet – und was nicht
Eine kryptografische Aktualisierung kann eine logarithmische Anzahl verschlüsselter Baumpfadkomponenten verwenden, ohne dass dadurch alle Arbeiten im System logarithmisch werden. Nachrichten müssen weiterhin verteilt werden, Clients speichern Zustand, und das Verhalten hängt von Gruppenstruktur und Operationen ab. Der alte Vergleich „MLS benötigt O(log N) Nachrichten, während bei LGS1 alles schneller ist“ vermischte unterschiedliche Kosten und lieferte keine Messungen.
Die MLS-Architektur, RFC 9750, behandelt den Zustelldienst getrennt von der kryptografischen Schlüsseleinrichtung. Sie erörtert die Nachrichtenverteilung und die Reihenfolge von Gruppenänderungen. Diese Trennung ist wichtig: Client-Berechnungen, Bytes in einem Commit, die gesamte serverseitige Verteilung und Datenverkehr beim Wiederverbinden sind unterschiedliche Messgrößen.
Ein aussagekräftiger Leistungsbericht sollte Folgendes angeben:
- Gruppengröße und Anzahl der Geräte pro Person;
- ob es sich um eine normale Nachricht, einen Mitgliederausschluss, eine Schlüsselaktualisierung oder eine Wiederverbindung handelt;
- vom initiierenden Client gesendete Bytes im Vergleich zum gesamten Zustellverkehr;
- verstrichene Zeit, Gerätemodell, Implementierungsversion und Netzwerkbedingungen;
- Kosten verpasster Aktualisierungen und wiederholter Änderungen der Mitgliedschaft.
Ohne diese Angaben sind Aussagen über „Millisekunden“, „geringen Zustandsaufwand“ oder Überlegenheit bei einer bestimmten Gruppengröße nicht belegt.
Ein Mitglied zu entfernen ist ein Lebenszyklustest
Dass ein Administrator ein Konto entfernt, ist nur ein Teil der Sicherheitsbetrachtung. Clients müssen sich auf den neuen Mitgliedschaftszustand einigen, geeignete frische Schlüssel verwenden und verhindern, dass ausgeschlossene Geräte diese Schlüssel erhalten. Wer bereits alten Klartext oder alte Schlüssel besitzt, kann den Zugriff auf alte Inhalte behalten; ein Ausschluss lässt vorhandene Kopien nicht verschwinden.
Bei beiden Systemen fragt ein sinnvoller Test: Kann das entfernte Gerät nach abgeschlossenem Ausschluss eine neue Testnachricht ohne sensible Inhalte entschlüsseln? Kann ein zuvor offline gewesenes Mitglied sicher aufholen? Werden alle Geräte eines Kontos berücksichtigt? Macht die Oberfläche Fehler oder Änderungen der Mitgliedschaft sichtbar?
Dies sind vorgeschlagene Bewertungsfragen, keine Ergebnisse hier durchgeführter Tests. Ein Produktvergleich sollte das beobachtete Ergebnis und die getestete Version veröffentlichen, statt einen erfolgreichen Administratorklick mit kryptografischem Ausschluss gleichzusetzen.
Forward Secrecy und Wiederherstellung gelten nur unter Bedingungen
Alte Nachrichten nach einer späteren Kompromittierung geschützt zu halten, hängt davon ab, altes Geheimnismaterial außer Betrieb zu nehmen. Den Schutz künftiger Nachrichten wiederherzustellen, erfordert frische Geheimnisse, nachdem der Angreifer den relevanten Zugriff verliert. Bei MLS gehört die Verarbeitung von Gruppenaktualisierungen zu dieser Wiederherstellung; eine Aktualisierung nur zu senden bedeutet nicht, dass jedes Mitglied sie angewendet hat. Siehe die Sicherheitsbetrachtungen in RFC 9420.
Bei einem Senderschlüsselentwurf sollte man fragen, wie der kompromittierte Zustand jedes Absenders ersetzt und neu verteilt wird. Eine Einwegkette allein darf nicht als automatisch heilend gegenüber einem Angreifer beschrieben werden, der ihren aktuellen Zustand kennt. Der paarweise Schutz bei der Neuverteilung ist relevant, ersetzt aber keine vollständige Analyse auf Gruppenebene.
Post-Quanten-Aussagen benötigen eine konkrete Cipher Suite und einen Geltungsbereich
Die im grundlegenden RFC9420 definierten Cipher Suites verwenden klassische Public-Key-Verfahren. MLS ist erweiterbar; eine Aussage über eine bestimmte Implementierung sollte deshalb deren tatsächliche Suite und Erweiterungen benennen, statt alle MLS-Installationen für dauerhaft klassisch zu erklären.
Die dokumentierte hybride LVR1-Verteilung von LGS1 ist eine andere Aussage als eine unabhängig analysierte Post-Quanten-Garantie für jede Gruppenoperation. FIPS 203 standardisiert ML-KEM; es zertifiziert nicht das vollständige Gruppenprotokoll, in das es eingebunden wird. Bewerten Sie Authentifizierung, Änderungen der Mitgliedschaft, Schlüsselkompromittierung und Implementierung gemeinsam, nicht nur den Namen des KEM.
Was Sie vor einer Produktentscheidung anfordern sollten
Bitten Sie um die aktuelle Protokollspezifikation, Testvektoren und eine versionsspezifische unabhängige Prüfung einschließlich offener Befunde. Vergleichen Sie danach gewöhnliche Produktanforderungen: unterstützte Geräte, Aktualisierungsverhalten, Wiederherstellung, Moderationsrollen und auf Servern gespeicherte Daten.
Die MLS-Architektur berücksichtigt ausdrücklich Anwendungsdienste und deren Vertrauensannahmen. Ebenso sollte Livaras Bedrohungsmodell zusammen mit den Produktaussagen gelesen werden. Verschlüsselung macht berechtigte Teilnehmer nicht vertrauenswürdig, verhindert keine Screenshots und beseitigt nicht jede Form von Metadaten.
Fehlen Nachweise, halten Sie „nicht belegt“ fest, statt einen Entwurf automatisch als unsicher oder überlegen einzustufen. Die Entscheidung sollte die Risiken Ihrer Gruppe und die Qualität der verfügbaren Nachweise widerspiegeln.
Häufig gestellte Fragen
Ist LGS1 eine Implementierung von MLS?
Die veröffentlichten Beschreibungen zeigen unterschiedliche Architekturen. Dieser Artikel bezeichnet LGS1 nicht als MLS-Implementierung und behauptet keine Interoperabilität.
Müssen bei MLS alle Mitglieder gleichzeitig online sein?
Nein. Asynchrone Nutzung gehört zum Entwurf. Anwendungen benötigen weiterhin Regeln für verzögerte Aktualisierungen, veralteten Zustand und lange offline gewesene Mitglieder.
Klärt eine Post-Quanten-Schlüsselverteilung die Gruppensicherheit abschließend?
Nein. Sie betrifft einen Teil der Schlüsseleinrichtung. Identität, Mitgliedschaft, Schlüssellebenszyklus, Endpunktsicherheit und Implementierung benötigen weiterhin Nachweise.
Welcher Entwurf ist schneller?
Dieser Artikel enthält keinen Benchmark, der einen Sieger belegt. Messen Sie die Operationen und die Einsatzumgebung, die für Ihre Gruppe wichtig sind.
