Pré-chaves permitem que o destinatário esteja offline durante a configuração. Elas não eliminam a necessidade de um caminho de entrega nem do gerenciamento cuidadoso do ciclo de vida das chaves privadas.
Um destinatário offline pode receber uma mensagem criptografada mais tarde porque seu dispositivo publicou material de chave pública antecipadamente. O remetente ainda precisa de um serviço de entrega acessível; “criptografia assíncrona” não significa que mensagens atravessem uma interrupção de rede ou apareçam instantaneamente em um telefone desconectado.
Projetos pós-quânticos ampliam essa ideia com um mecanismo de encapsulamento de chaves. As perguntas importantes são como o segredo inicial é estabelecido, como as chaves privadas antigas são retiradas de uso e como as mensagens posteriores renovam a segurança.
Pré-chaves resolvem um problema de sincronização
Imagine que Maya esteja offline quando Sam inicia uma nova conversa. O dispositivo de Maya já havia enviado pré-chaves públicas. Sam pode buscar esse material, executar a parte do acordo de chaves correspondente ao remetente e enviar uma primeira mensagem criptografada. Maya a processa após se reconectar, usando chaves privadas mantidas em seu dispositivo.
O servidor, portanto, fornece informações públicas e enfileira dados criptografados; ele não precisa possuir o segredo resultante da mensagem. A especificação X3DH do Signal é uma descrição primária desse projeto assíncrono. Uma pré-chave assinada e uma pré-chave de uso único têm durações e funções diferentes; “pré-chave” não significa uma senha secreta enviada ao servidor.
Em uma conversa já estabelecida, o aplicativo pode usar o estado existente da sessão em vez de repetir a configuração inicial a cada mensagem. Iniciar uma sessão e avançar suas chaves de mensagem são operações separadas.
O que um KEM pós-quântico acrescenta
Um mecanismo de encapsulamento de chaves tem três operações básicas: gerar chaves, encapsular usando uma chave pública e desencapsular usando a chave privada correspondente. O encapsulamento produz tanto um segredo compartilhado quanto um texto cifrado. O texto cifrado pode ser entregue mais tarde; o próprio segredo não é enviado em claro.
O NIST FIPS 203 padroniza ML-KEM. No ML-KEM-768, a chave pública de encapsulamento tem 1.184 bytes, o texto cifrado tem 1.088 bytes e o segredo compartilhado tem 32 bytes. Esses são tamanhos no nível do algoritmo, não o tamanho de um pacote de mensagens inteiro. Assinaturas, chaves clássicas, identificadores e enquadramento de transporte acrescentam sobrecarga; uma chave pública em cache pode não acompanhar todas as mensagens.
Em uma construção híbrida, um protocolo combina material secreto clássico e pós-quântico conforme um esquema de derivação de chaves definido. Simplesmente juntar nomes de algoritmos não demonstra que a composição é segura. A vinculação de identidade, a validação, a separação de domínios e o tratamento de falhas precisam de especificação e revisão.
Um exemplo: PQXDH, não um modelo universal
A especificação PQXDH do Signal descreve pré-chaves pós-quânticas assinadas de uso único e uma chave assinada de último recurso. O remetente verifica as assinaturas fornecidas, realiza o acordo de chaves e inclui o texto cifrado KEM e os identificadores das chaves na mensagem criptografada inicial. O destinatário posteriormente deriva o mesmo segredo e processa a mensagem.
A chave de último recurso permite a configuração quando chaves KEM de uso único estão indisponíveis, mas a análise de comprometimento não é idêntica. A exclusão e a rotação de chaves privadas afetam a proteção de sessões anteriores. A especificação também distingue sigilo futuro pós-quântico de autenticação contra um atacante quântico ativo. Esses detalhes não devem ser substituídos por “o mecanismo alternativo não tem custo de segurança”.
PQXDH é uma construção especificada. Suas curvas, assinaturas e escolhas exatas de parâmetros não devem ser copiadas para a descrição de outro produto, a menos que esse produto as documente.
Um mecanismo ratchet não é o mesmo que um conjunto de pré-chaves
Pré-chaves auxiliam no estabelecimento de sessões. Um protocolo ratchet altera segredos durante a conversa. A especificação Double Ratchet explica a evolução das chaves de mensagem e construções ratchet pós-quânticas mais recentes, incluindo projetos que não transmitem uma troca pós-quântica completa em cada mensagem do aplicativo.
O sigilo futuro diz respeito às mensagens anteriores após um comprometimento posterior de chaves. A segurança pós-comprometimento diz respeito à recuperação da proteção de comunicações futuras depois que o atacante perde o acesso e novo material secreto é incorporado. Nenhum dos dois significa que um malware pode permanecer indefinidamente no telefone enquanto a criptografia, de alguma forma, esconde dele o texto em claro desse telefone.
Excluir uma pré-chave pública do servidor impede sua reutilização normal; isso não equivale a excluir a chave privada correspondente de um dispositivo final. Uma auditoria útil verifica tanto as regras do ciclo de vida quanto o comportamento de mensagens atrasadas.
O que o Livara documenta — e o que ainda exige evidências
A página de segurança do Livara descreve o estabelecimento híbrido de sessões com chaves de uso único quando disponíveis, avanços normais da cadeia de mensagens e épocas periódicas de ML-KEM. Isso difere da antiga afirmação de que cada mensagem realiza uma troca ML-KEM totalmente nova. São declarações na documentação do produto, não uma verificação independente da implementação.
Não deduza dessas declarações uma política específica de alternativa quando as chaves se esgotam, um intervalo de reposição ou um valor de latência de rede. Essas perguntas exigem documentação do protocolo específica da versão ou resultados medidos. O Proof Lab também não é um teste completo de configuração assíncrona, esgotamento de chaves ou recuperação de mensagens atrasadas.
Como avaliar afirmações sobre mensagens offline
Peça ao fornecedor ou avaliador evidências que cubram estes casos:
| Caso de teste | O que observar |
|---|---|
| Primeira mensagem para um contato desconectado | Qual material de chave pública foi usado e quando o destinatário realmente recebe a mensagem |
| Pré-chaves de uso único esgotadas | Se a configuração para ou segue uma alternativa documentada, e qual é a contrapartida de segurança declarada |
| Destinatário reinstala o aplicativo ou muda de identidade | Se mensagens antigas na fila continuam descriptografáveis e se as mudanças de chave ficam visíveis |
| Mensagens atrasadas ou fora de ordem | Limites de retenção, tratamento de chaves puladas e erros compreensíveis |
| Retorno após uma longa ausência | Renovação segura de chaves, processamento limitado e status de entrega preciso |
| Comparação de desempenho | Dispositivo, versão do aplicativo, rede, tamanho da carga e medições separadas de configuração inicial a frio e de sessão estabelecida |
Use contas de teste e mensagens sem dados sensíveis. Um teste de entrega bem-sucedido demonstra aquele cenário, não todas as propriedades criptográficas. Por outro lado, uma falha de entrega pode ser um problema de rede ou de ciclo de vida, e não uma quebra da cifra.
Perguntas frequentes
O destinatário pode estar offline enquanto eu envio?
Sim, se o aplicativo tiver o material público necessário e a infraestrutura de entrega e armazenamento. O destinatário não pode ler a mensagem na fila até que seu dispositivo consiga recuperá-la e processá-la.
Chaves KEM maiores sempre tornam as conversas visivelmente mais lentas?
O tamanho da chave, sozinho, não permite uma afirmação universal sobre tempo. A frequência de configuração, o processamento em lotes, o cache, a implementação e as condições de rede importam. Publique um benchmark em vez de prometer sobrecarga zero.
Uma pré-chave assinada comprova quem está por trás da conta?
Ela autentica o material em relação a uma identidade de assinatura. Como essa identidade está vinculada à pessoa com quem você pretende falar é uma questão separada de confiança e verificação.
A criptografia pós-quântica funciona sem conexão alguma?
Alguns cálculos locais podem ser executados offline. A entrega de mensagens ainda exige um caminho de comunicação; a criptografia não fornece esse caminho.
