Wiadomości grupowe z kluczami nadawcy pozwalają uniknąć szyfrowania osobnej kopii każdej zwykłej wiadomości dla każdego odbiorcy. Nadawca rozprowadza materiał kluczowy przez bezpieczne kanały między parami uczestników, a następnie używa łańcucha nadawcy do wiadomości grupowych. Może to ograniczyć powtarzalną pracę przy wysyłaniu przez nadawcę, lecz nie uniezależnia całkowitego kosztu dostarczenia wiadomości od wielkości grupy.
Przed porównywaniem twierdzeń o transferze rozdziel wysyłanie zwykłych wiadomości, dystrybucję kluczy i dostarczanie przez serwer.
Trzy koszty ukryte w jednej „wiadomości grupowej”
Rozważmy uproszczoną grupę N członków. To model objaśniający, a nie zmierzony wynik testu wydajności Livary:
| Operacja | Kopie wiadomości dla par uczestników | Projekt z kluczami nadawcy |
|---|---|---|
| Nadawca wysyła zwykłą treść | Może wymagać osobnych zaszyfrowanych kopii dla odbiorców | Po konfiguracji może wysłać jeden szyfrogram grupowy |
| Uzgadnianie lub dystrybucja kluczy | Sesje między parami muszą istnieć i być utrzymywane | Materiał nadawcy musi dotrzeć do uprawnionych odbiorców |
| Przekaźnik dostarcza do grupy | Odbiorcy nadal potrzebują swoich kopii | Odbiorcy nadal potrzebują swoich kopii |
| Zmiany członkostwa | Trzeba zaktualizować sesje i politykę dostępu | Nowy materiał nadawcy może wymagać ponownej dystrybucji |
„Stały rozmiar danych wysyłanych przez nadawcę” opisuje jedną część tego modelu. Nie oznacza stałego całkowitego ruchu sieciowego, zerowego kosztu zmian członkostwa ani identycznej wydajności na każdym urządzeniu.
Specyfikacja MLS IETF, RFC 9420, omawia efektywność kluczy nadawcy i dodatkową pracę wymaganą do odzyskania bezpieczeństwa po kompromitacji. MLS stosuje inne podejście oparte na drzewie. To różnica architektoniczna, a nie ranking czyniący jeden projekt najlepszym w każdej sytuacji.
Gdzie postkwantowe uzgadnianie kluczy zwiększa narzut
ML-KEM wnosi materiał klucza publicznego i enkapsulacji większy niż popularne reprezentacje oparte na krzywych eliptycznych. Protokół nie musi jednak wykonywać nowej wymiany KEM dla każdej wiadomości. Konfiguracja, okresowa zmiana kluczy i zwykłe szyfrowanie symetryczne mogą mieć różne koszty. NIST FIPS 203 definiuje zestawy parametrów ML-KEM, a nie kompletny format komunikatora przesyłany po sieci.
Dlatego pomnożenie rozmiaru szyfrogramu KEM przez „100 użytkowników” samo w sobie nie przewiduje ruchu na wiadomość w czacie ze 100 członkami. Odpowiedź zależy również od ponownego używania sesji, formatu ramek wiadomości, urządzeń odbiorców, retransmisji oraz tego, czy załączniki są wysyłane raz, czy kopiowane.
Rzetelne porównanie podaje liczbę grup i urządzeń, rozmiary wiadomości i załączników, zmienność członkostwa, kompilację klienta i warunki sieciowe. Bez tych szczegółów dokładne liczby kilobajtów lub zużycia baterii mogą wprowadzać w błąd.
Co Livara mówi o LGS1
Strona bezpieczeństwa Livary opisuje LGS1 jako projekt łańcuchów nadawców dla grup prywatnych. Materiał kluczowy każdego nadawcy jest rozprowadzany wewnątrz sesji LVR1 między parami; wiadomości grupowe korzystają z powstałego łańcucha, a dokumentacja opisuje nowe klucze nadawcy, gdy członkowie dołączają lub odchodzą.
To architektura udokumentowana przez dostawcę, a nie niezależnie zweryfikowany wynik wydajności. Pozwala wyjaśnić zamierzony rozdział dystrybucji kluczy i zwykłych wiadomości. Nie uzasadnia twierdzenia, że każde wysłanie do grupy ma dokładnie 1,1 KB, że cały system ma koszt dostarczania O(1) ani że zmierzono znikome zużycie baterii.
Zmiana kluczy należy do budżetu bezpieczeństwa
Usunięcie członka z interfejsu nie wystarcza, jeśli nadal ma on klucze pozwalające odszyfrowywać przyszły ruch. Bezpieczne przejście musi wykluczyć usunięte urządzenia z nowej dystrybucji kluczy i zapewnić przejście pozostałych klientów do właściwego stanu. Wcześniej odebranych wiadomości i skopiowanych plików nie można kryptograficznie odebrać.
Poufność w przód kluczy nadawcy i odzyskiwanie bezpieczeństwa po kompromitacji zależą też od sposobu rozwijania łańcuchów kluczy, usuwanych sekretów i momentu wprowadzania nowego materiału. Nie należy ich wywodzić wyłącznie z użycia postkwantowego KEM podczas konfiguracji.
Pytania do praktycznej oceny czatu grupowego
- Czy zwykły tekst jest wysyłany raz przez nadawcę, czy osobno do każdego urządzenia odbiorcy?
- Które zdarzenia powodują rotację kluczy i co dzieje się, gdy członek jest offline?
- Jak reprezentowane są dodane urządzenia i usunięci członkowie?
- Czy załączniki i ich klucze odszyfrowujące są chronione według tych samych zasad członkostwa?
- Jakie metadane pozostają widoczne dla przekaźnika?
- Czy wyniki wydajności można odtworzyć na docelowych telefonach i w docelowej sieci?
Model zagrożeń Livary rozróżnia grupy prywatne i kanały publiczne oraz dokumentuje widoczne informacje routingu. Publicznego publikowania i dystrybucji kluczy grup prywatnych nie należy łączyć w jedno twierdzenie o „szyfrowanych kanałach”.
Klucze nadawcy mogą oszczędzić powtarzalną pracę. Użyteczne pytanie inżynierskie brzmi: dokąd ta praca się przenosi, jakie zdarzenia powodują jej powtarzanie i jak bezpiecznie grupa zmienia skład.
