La mensajería grupal con claves de emisor puede evitar cifrar una copia separada de cada mensaje ordinario para cada destinatario. Un emisor distribuye material de claves por canales seguros entre pares y después utiliza una cadena de emisor para los mensajes grupales. Eso puede reducir el trabajo repetido de subida del emisor, pero no hace que el coste total de entregar un mensaje sea independiente del tamaño del grupo.
Separe la subida de mensajes ordinarios, la distribución de claves y la entrega del servidor antes de comparar afirmaciones sobre ancho de banda.
Tres costes ocultos en un «mensaje grupal»
Consideremos un grupo simplificado de N miembros. Es un modelo explicativo, no una prueba de rendimiento medida de Livara:
| Operación | Copias de mensajes entre pares | Diseño con claves de emisor |
|---|---|---|
| El emisor sube contenido ordinario | Puede requerir copias cifradas separadas para los destinatarios | Puede subir un único texto cifrado grupal tras la configuración |
| Establecimiento o distribución de claves | Deben existir y mantenerse sesiones entre pares | El material del emisor debe llegar a los destinatarios autorizados |
| El servidor de retransmisión entrega al grupo | Los destinatarios siguen necesitando sus copias | Los destinatarios siguen necesitando sus copias |
| Cambios de miembros | Deben actualizarse las sesiones y la política de acceso | Puede ser necesario redistribuir material nuevo del emisor |
«Subida del emisor de tamaño constante» describe una parte de este modelo. No significa tráfico total de red constante, coste nulo de los cambios de miembros ni rendimiento idéntico en todos los dispositivos.
La especificación MLS, RFC 9420, del IETF analiza la eficiencia de las claves de emisor y el trabajo adicional necesario para recuperar la seguridad tras un compromiso. MLS utiliza un enfoque diferente basado en árboles. La distinción es arquitectónica, no una clasificación que convierta un diseño en el mejor para todos los casos.
Dónde añade sobrecarga el establecimiento de claves poscuántico
ML-KEM aporta claves públicas y material de encapsulación de mayor tamaño que las representaciones habituales de curvas elípticas. Pero un protocolo no tiene por qué realizar un intercambio KEM nuevo para cada mensaje. La configuración, la renovación periódica de claves y el cifrado simétrico ordinario pueden tener costes diferentes. NIST FIPS 203 define los conjuntos de parámetros de ML-KEM, no el formato completo de transmisión de un servicio de mensajería.
Por eso, multiplicar el tamaño de un texto cifrado KEM por «100 usuarios» no predice, por sí solo, el tráfico por mensaje de un chat de 100 miembros. La respuesta también depende de la reutilización de sesiones, el formato de los mensajes, los dispositivos destinatarios, las retransmisiones y de si los archivos adjuntos se suben una sola vez o se copian.
Una comparación justa indica el número de grupos y dispositivos, el tamaño de los mensajes y los adjuntos, la rotación de miembros, la compilación del cliente y las condiciones de red. Sin esos detalles, las cifras precisas de kilobytes o batería pueden inducir a error.
Qué dice Livara sobre LGS1
La página de seguridad de Livara describe LGS1 como un diseño de cadenas de emisor para grupos privados. El material de claves de cada emisor se distribuye dentro de sesiones LVR1 entre pares; los mensajes grupales utilizan la cadena resultante, y la documentación describe claves de emisor nuevas cuando los miembros entran o salen.
Esta es la arquitectura documentada por el proveedor, no un resultado de rendimiento verificado de forma independiente. Permite explicar la separación prevista entre la distribución de claves y los mensajes ordinarios. No respalda afirmar que cada subida grupal ocupa exactamente 1,1 KB, que todo el sistema tiene un coste de entrega O(1) o que se haya medido un consumo de batería insignificante.
La renovación de claves forma parte del presupuesto de seguridad
Eliminar a un miembro de una interfaz no basta si ese miembro conserva claves capaces de descifrar el tráfico futuro. Una transición segura debe excluir los dispositivos eliminados de la nueva distribución de claves y garantizar que los clientes restantes pasen al estado correcto. Los mensajes ya recibidos y los archivos copiados no pueden retirarse mediante criptografía.
La confidencialidad hacia adelante y la recuperación posterior a un compromiso con claves de emisor también dependen de cómo avanzan las cadenas de claves, qué secretos se eliminan y cuándo se introduce material nuevo. No deben inferirse simplemente del uso de un KEM poscuántico durante la configuración.
Preguntas para una evaluación práctica del chat grupal
- ¿El texto ordinario se sube una vez por emisor o por separado para cada dispositivo destinatario?
- ¿Qué eventos rotan las claves y qué ocurre mientras un miembro está desconectado?
- ¿Cómo se representan los dispositivos añadidos y los miembros eliminados?
- ¿Se protegen los adjuntos y sus claves de descifrado con las mismas reglas de pertenencia?
- ¿Qué metadatos siguen siendo visibles para el servidor de retransmisión?
- ¿Son reproducibles los resultados de rendimiento en los teléfonos y la red previstos?
El modelo de amenazas de Livara distingue los grupos privados de los canales públicos y documenta la información de encaminamiento visible. La publicación pública y la distribución de claves de grupos privados no deben combinarse en una sola afirmación sobre «canales cifrados».
Las claves de emisor pueden ahorrar trabajo repetido. La pregunta de ingeniería útil es adónde se traslada ese trabajo, qué eventos hacen que se repita y con qué seguridad cambia el grupo sus miembros.
