Предварительные ключи позволяют получателю отсутствовать в сети при установлении сеанса. Они не устраняют необходимость канала доставки и тщательного управления жизненным циклом закрытых ключей.
Получатель вне сети может получить зашифрованное сообщение позже, поскольку его устройство заранее опубликовало открытый ключевой материал. Отправителю по-прежнему нужен доступный сервис доставки; «асинхронное шифрование» не означает, что сообщения преодолевают отсутствие сетевого соединения или мгновенно появляются на отключённом телефоне.
Постквантовые схемы расширяют эту идею механизмом инкапсуляции ключей. Важны вопросы о том, как устанавливается начальный секрет, как выводятся из обращения старые закрытые ключи и как последующие сообщения обновляют защиту.
Предварительные ключи решают проблему несовпадения по времени
Представьте, что Майя не в сети, когда Сэм начинает новую беседу. Устройство Майи ранее загрузило открытые предварительные ключи. Сэм может получить этот материал, выполнить свою сторону согласования ключей и отправить зашифрованное первое сообщение. Майя обработает его после подключения, используя закрытые ключи, хранящиеся на её устройстве.
Таким образом, сервер предоставляет открытую информацию и ставит зашифрованные данные в очередь; ему не обязательно владеть полученным секретом сообщений. Спецификация X3DH от Signal — первичное описание такой асинхронной схемы. Подписанный предварительный ключ и одноразовый предварительный ключ имеют разные сроки жизни и роли; «предварительный ключ» не означает секретный пароль, загруженный на сервер.
Для уже установленной беседы приложение может использовать существующее состояние сеанса, а не повторять начальную настройку для каждого сообщения. Начало сеанса и обновление его ключей сообщений — отдельные операции.
Что добавляет постквантовый KEM
У механизма инкапсуляции ключей три основные операции: генерация ключей, инкапсуляция с использованием открытого ключа и декапсуляция с помощью соответствующего закрытого ключа. Инкапсуляция создаёт одновременно общий секрет и шифртекст. Шифртекст можно доставить позже; сам секрет не передаётся в открытом виде.
NIST FIPS 203 стандартизует ML-KEM. Для ML-KEM-768 открытый ключ инкапсуляции занимает 1184 байта, шифртекст — 1088 байт, а общий секрет — 32 байта. Это размеры на уровне алгоритма, а не размер целого пакета сообщения. Подписи, классические ключи, идентификаторы и транспортное обрамление добавляют накладные расходы; кэшированный открытый ключ может не сопровождать каждое сообщение.
В гибридной конструкции протокол объединяет классический и постквантовый секретный материал согласно определённой схеме выработки ключей. Простое перечисление названий алгоритмов не доказывает безопасность их сочетания. Привязка идентичности, валидация, разделение доменов и обработка ошибок требуют спецификации и проверки.
Пример: PQXDH, а не универсальный шаблон
Спецификация PQXDH от Signal описывает подписанные одноразовые постквантовые предварительные ключи и подписанный резервный ключ на крайний случай. Отправитель проверяет предоставленные подписи, выполняет согласование ключей и включает шифртекст KEM и идентификаторы ключей в начальное зашифрованное сообщение. Получатель позже выводит тот же секрет и обрабатывает сообщение.
Резервный ключ позволяет установить сеанс, когда одноразовые ключи KEM недоступны, но анализ последствий компрометации отличается. Удаление и ротация закрытых ключей влияют на защиту более ранних сеансов. Спецификация также различает постквантовую прямую секретность и аутентификацию против активного квантового атакующего. Эти подробности нельзя заменять утверждением «резервный вариант ничего не стоит с точки зрения безопасности».
PQXDH — одна конкретно описанная конструкция. Её точные кривые, подписи и параметры не следует переносить в описание другого продукта, если сам продукт их не документирует.
Храповик — не то же самое, что пул предварительных ключей
Предварительные ключи поддерживают установление сеанса. Храповичный протокол изменяет секреты во время беседы. Спецификация Double Ratchet объясняет развитие ключей сообщений и более новые постквантовые храповичные конструкции, включая схемы, которые не передают полный постквантовый обмен с каждым сообщением приложения.
Прямая секретность касается более ранних сообщений после последующей компрометации ключа. Посткомпрометационная безопасность касается восстановления защиты будущего общения после того, как атакующий потерял доступ и был включён свежий секретный материал. Ни то ни другое не означает, что вредоносное ПО может бесконечно оставаться на телефоне, а криптография каким-то образом скрывает от него открытый текст этого телефона.
Удаление открытого предварительного ключа с сервера предотвращает его обычное повторное использование; это не равнозначно удалению соответствующего закрытого ключа с конечного устройства. Полезный аудит проверяет и правила жизненного цикла, и поведение при задержанных сообщениях.
Что документирует Livara — и что ещё требует доказательств
Страница безопасности Livara описывает гибридное установление сеанса с одноразовыми ключами при их наличии, обычное продвижение цепочек сообщений и периодические эпохи ML-KEM. Это отличается от прежнего утверждения, будто каждое сообщение выполняет полный свежий обмен ML-KEM. Это положения документации продукта, а не независимое подтверждение реализации.
Не выводите из этих утверждений конкретную резервную политику при исчерпании ключей, интервал их пополнения или величину сетевой задержки. Для этих вопросов нужна документация протокола для конкретной версии или результаты измерений. Proof Lab также не является полной проверкой асинхронной установки сеанса, исчерпания ключей или восстановления обработки задержанных сообщений.
Как оценивать заявления об обмене сообщениями вне сети
Запросите у поставщика или проверяющего свидетельства, охватывающие следующие случаи:
| Тестовый случай | Что наблюдать |
|---|---|
| Первое сообщение отключённому собеседнику | Какой открытый ключевой материал использован и когда получатель действительно получает сообщение |
| Исчерпанные одноразовые предварительные ключи | Прекращается ли установка сеанса или используется документированный резервный вариант и каков заявленный компромисс безопасности |
| Получатель переустанавливает приложение или меняет идентичность | Можно ли по-прежнему расшифровать старые сообщения в очереди и видны ли изменения ключей |
| Задержанные сообщения или сообщения с изменённым порядком | Ограничения хранения, обработка пропущенных ключей и понятные ошибки |
| Возвращение после долгого отсутствия | Безопасное обновление ключей, ограниченный объём обработки и точный статус доставки |
| Сравнение производительности | Устройство, версия приложения, сеть, размер полезной нагрузки и отдельные измерения холодного старта и установленного сеанса |
Используйте тестовые учётные записи и сообщения без чувствительных данных. Успешный тест доставки демонстрирует этот сценарий, а не каждое криптографическое свойство. И наоборот, неудачная доставка может быть проблемой сети или жизненного цикла, а не взломом шифра.
Частые вопросы
Может ли получатель быть вне сети, пока я отправляю сообщение?
Да, если у приложения есть необходимый открытый материал и инфраструктура доставки и хранения. Получатель не сможет прочитать сообщение в очереди, пока его устройство не сможет получить и обработать его.
Всегда ли более крупные ключи KEM заметно замедляют чат?
Из одного размера ключа не следует универсальное утверждение о времени. Важны частота установки сеанса, пакетная обработка, кэширование, реализация и условия сети. Публикуйте результаты тестирования вместо обещаний нулевых накладных расходов.
Доказывает ли подписанный предварительный ключ личность человека за учётной записью?
Он аутентифицирует материал относительно подписывающей идентичности. Как эта идентичность связана с человеком, с которым вы собираетесь связаться, — отдельный вопрос доверия и проверки.
Работает ли постквантовое шифрование совсем без соединения?
Некоторые локальные вычисления можно выполнять вне сети. Для доставки сообщений всё равно нужен канал связи; криптография его не предоставляет.
