As mensagens de grupo com chaves do remetente podem evitar a encriptação de uma cópia separada de cada mensagem normal para cada destinatário. Um remetente distribui material de chave por canais seguros entre pares e depois usa uma cadeia do remetente para as mensagens de grupo. Isto pode reduzir o trabalho repetido de envio pelo remetente, mas não torna o custo total de entregar uma mensagem independente do tamanho do grupo.
Separe o envio de mensagens normais, a distribuição de chaves e a entrega pelo servidor antes de comparar afirmações sobre tráfego.
Três custos escondidos numa só «mensagem de grupo»
Considere um grupo simplificado com N membros. Este é um modelo explicativo, não um teste de desempenho medido da Livara:
| Operação | Cópias da mensagem entre pares | Modelo com chaves do remetente |
|---|---|---|
| O remetente envia conteúdo normal | Pode exigir cópias encriptadas separadas para os destinatários | Pode enviar um único texto cifrado de grupo após a configuração |
| Estabelecimento ou distribuição de chaves | As sessões entre pares têm de existir e ser mantidas | O material do remetente tem de chegar aos destinatários autorizados |
| O retransmissor entrega ao grupo | Os destinatários continuam a precisar das suas cópias | Os destinatários continuam a precisar das suas cópias |
| Alterações de membros | As sessões e a política de acesso têm de ser atualizadas | Pode ser necessário redistribuir novo material do remetente |
«Envio de tamanho constante pelo remetente» descreve uma parte deste modelo. Não significa tráfego total de rede constante, custo nulo para alterações de membros ou desempenho idêntico em todos os dispositivos.
A especificação MLS da IETF, RFC 9420, discute a eficiência das chaves do remetente e o trabalho adicional necessário para recuperar a segurança após um comprometimento. O MLS usa uma abordagem diferente baseada em árvores. A distinção é arquitetural, não uma classificação que torne um modelo universalmente superior.
Onde o estabelecimento de chaves pós-quântico acrescenta custos
O ML-KEM acrescenta material de chave pública e de encapsulamento maior do que as representações comuns de curvas elípticas. Mas um protocolo não precisa de realizar uma nova troca KEM para cada mensagem. A configuração, a renovação periódica de chaves e a encriptação simétrica normal podem ter custos diferentes. O NIST FIPS 203 define os conjuntos de parâmetros do ML-KEM, não o formato completo transmitido na rede por uma aplicação de mensagens.
Por isso, multiplicar o tamanho de um texto cifrado KEM por «100 utilizadores» não prevê, por si só, o tráfego por mensagem de uma conversa com 100 membros. A resposta depende também da reutilização de sessões, do enquadramento das mensagens, dos dispositivos dos destinatários, das retransmissões e de os anexos serem enviados uma vez ou copiados.
Uma comparação justa indica os números de grupos e dispositivos, os tamanhos de mensagens e anexos, a rotatividade de membros, a compilação do cliente e as condições de rede. Sem estes detalhes, valores precisos em quilobytes ou relativos à bateria podem induzir em erro.
O que a Livara diz sobre o LGS1
A página de segurança da Livara descreve o LGS1 como um modelo de cadeias do remetente para grupos privados. O material de chave de cada remetente é distribuído dentro de sessões LVR1 entre pares; as mensagens de grupo usam a cadeia resultante, e a documentação descreve novas chaves do remetente quando os membros entram ou saem.
Esta é a arquitetura documentada pelo fornecedor, não um resultado de desempenho verificado de forma independente. Permite explicar a separação pretendida entre a distribuição de chaves e as mensagens normais. Não sustenta a afirmação de que cada envio de grupo tem exatamente 1,1 KB, de que todo o sistema tem custo de entrega O(1) ou de que o consumo de bateria foi medido como insignificante.
Renovar chaves faz parte do orçamento de segurança
Remover um membro da interface é insuficiente se esse membro ainda possuir chaves capazes de desencriptar tráfego futuro. Uma transição segura tem de excluir os dispositivos removidos da nova distribuição de chaves e garantir que os restantes clientes passam para o estado correto. As mensagens já recebidas e os ficheiros copiados não podem ser retirados dos destinatários por meios criptográficos.
O sigilo futuro das chaves do remetente e a recuperação após comprometimento também dependem de como as cadeias de chaves avançam, de que segredos são eliminados e de quando se introduz novo material. Não devem ser inferidos apenas do uso de um KEM pós-quântico durante a configuração.
Perguntas para uma avaliação prática de conversas de grupo
- O texto normal é enviado uma vez por remetente ou separadamente para cada dispositivo destinatário?
- Que eventos fazem rodar as chaves e o que acontece enquanto um membro está offline?
- Como são representados os dispositivos adicionados e os membros removidos?
- Os anexos e as suas chaves de desencriptação estão protegidos pelas mesmas regras de participação no grupo?
- Que metadados continuam visíveis para o retransmissor?
- Os resultados de desempenho são reproduzíveis nos telemóveis e na rede pretendidos?
O modelo de ameaças da Livara distingue grupos privados de canais públicos e documenta a informação de encaminhamento visível. A publicação pública e a distribuição de chaves de grupos privados não devem ser combinadas numa única afirmação sobre «canais encriptados».
As chaves do remetente podem poupar trabalho repetido. A pergunta de engenharia útil é para onde esse trabalho passa, que eventos o fazem repetir-se e com que segurança o grupo altera os seus membros.
