La messaggistica di gruppo con chiavi del mittente può evitare di cifrare una copia separata di ogni messaggio ordinario per ciascun destinatario. Un mittente distribuisce materiale crittografico tramite canali sicuri tra coppie, quindi usa una catena del mittente per i messaggi di gruppo. Questo può ridurre il lavoro ripetuto di caricamento del mittente, ma non rende il costo totale della consegna di un messaggio indipendente dalla dimensione del gruppo.
Distingui il caricamento dei messaggi ordinari, la distribuzione delle chiavi e la consegna del server prima di confrontare le affermazioni sulla larghezza di banda.
Tre costi nascosti in un «messaggio di gruppo»
Consideriamo un gruppo semplificato con N membri. È un modello esplicativo, non un benchmark misurato di Livara:
| Operazione | Copie dei messaggi tra coppie | Progettazione con chiavi del mittente |
|---|---|---|
| Il mittente carica contenuti ordinari | Può richiedere copie cifrate separate per i destinatari | Può caricare un unico testo cifrato di gruppo dopo la configurazione |
| Creazione o distribuzione delle chiavi | Le sessioni tra coppie devono esistere ed essere mantenute | Il materiale del mittente deve raggiungere i destinatari autorizzati |
| Il relay consegna al gruppo | I destinatari hanno comunque bisogno delle proprie copie | I destinatari hanno comunque bisogno delle proprie copie |
| Cambiamenti dei membri | Le sessioni e la politica di accesso devono essere aggiornate | Potrebbe essere necessario ridistribuire nuovo materiale del mittente |
«Caricamento del mittente di dimensione costante» descrive una parte di questo modello. Non significa traffico di rete totale costante, costo nullo dei cambiamenti dei membri o prestazioni identiche su ogni dispositivo.
La specifica MLS, RFC 9420, dell’IETF tratta l’efficienza delle chiavi del mittente e il lavoro aggiuntivo necessario per recuperare la sicurezza dopo una compromissione. MLS utilizza un approccio diverso basato su alberi. La distinzione riguarda l’architettura, non è una classifica che renda una progettazione universalmente migliore.
Dove la creazione di chiavi post-quantistica aggiunge sovraccarico
ML-KEM introduce chiavi pubbliche e materiale di incapsulamento più grandi delle comuni rappresentazioni basate su curve ellittiche. Ma un protocollo non deve necessariamente effettuare un nuovo scambio KEM per ogni messaggio. Configurazione, rinnovo periodico delle chiavi e normale cifratura simmetrica possono avere costi diversi. NIST FIPS 203 definisce gli insiemi di parametri di ML-KEM, non il formato completo trasmesso in rete da un’app di messaggistica.
Ecco perché moltiplicare la dimensione di un testo cifrato KEM per «100 utenti» non prevede, di per sé, il traffico per messaggio di una chat con 100 membri. La risposta dipende anche dal riutilizzo delle sessioni, dalla struttura dei messaggi, dai dispositivi destinatari, dalle ritrasmissioni e dal fatto che gli allegati vengano caricati una sola volta o copiati.
Un confronto equo specifica il numero di gruppi e dispositivi, le dimensioni di messaggi e allegati, il ricambio dei membri, la build del client e le condizioni di rete. Senza questi dettagli, cifre precise sui kilobyte o sulla batteria possono essere fuorvianti.
Cosa dice Livara su LGS1
La pagina sulla sicurezza di Livara descrive LGS1 come una progettazione a catene del mittente per gruppi privati. Il materiale crittografico di ciascun mittente viene distribuito all’interno di sessioni LVR1 tra coppie; i messaggi di gruppo usano la catena risultante e la documentazione descrive nuove chiavi del mittente quando i membri entrano o escono.
Questa è l’architettura documentata dal fornitore, non un risultato prestazionale verificato in modo indipendente. Consente di spiegare la separazione prevista tra distribuzione delle chiavi e messaggi ordinari. Non giustifica l’affermazione che ogni caricamento di gruppo sia esattamente di 1,1 KB, che l’intero sistema abbia un costo di consegna O(1) o che il consumo di batteria sia stato misurato come trascurabile.
Il rinnovo delle chiavi fa parte del budget di sicurezza
Rimuovere un membro da un’interfaccia non basta se quel membro possiede ancora chiavi in grado di decifrare il traffico futuro. Una transizione sicura deve escludere i dispositivi rimossi dalla nuova distribuzione delle chiavi e garantire che i client rimanenti passino allo stato corretto. I messaggi già ricevuti e i file copiati non possono essere richiamati tramite la crittografia.
La segretezza in avanti e il recupero dopo una compromissione con le chiavi del mittente dipendono anche da come avanzano le catene di chiavi, da quali segreti vengono eliminati e da quando viene introdotto nuovo materiale. Non vanno dedotti soltanto dall’uso di un KEM post-quantistico durante la configurazione.
Domande per una valutazione pratica delle chat di gruppo
- Il testo ordinario viene caricato una volta per mittente o separatamente per ciascun dispositivo destinatario?
- Quali eventi ruotano le chiavi e cosa accade mentre un membro è offline?
- Come vengono rappresentati i dispositivi aggiunti e i membri rimossi?
- Gli allegati e le relative chiavi di decifratura sono protetti dalle stesse regole di appartenenza?
- Quali metadati restano visibili al relay?
- I risultati prestazionali sono riproducibili sui telefoni e sulla rete previsti?
Il modello di minaccia di Livara distingue i gruppi privati dai canali pubblici e documenta le informazioni di instradamento visibili. La pubblicazione pubblica e la distribuzione delle chiavi dei gruppi privati non dovrebbero essere combinate in un’unica affermazione sui «canali cifrati».
Le chiavi del mittente possono risparmiare lavoro ripetuto. La domanda ingegneristica utile è dove si sposti quel lavoro, quali eventi lo rendano nuovamente necessario e con quanta sicurezza il gruppo cambi i propri membri.
