Групповой обмен сообщениями с ключами отправителя позволяет избежать шифрования отдельной копии каждого обычного сообщения для каждого получателя. Отправитель распространяет ключевой материал по защищённым попарным каналам, затем использует цепочку отправителя для групповых сообщений. Это может сократить повторяющуюся работу отправителя по загрузке данных, но не делает общую стоимость доставки сообщения независимой от размера группы.
Прежде чем сравнивать заявления о трафике, разделите загрузку обычных сообщений, распространение ключей и доставку сервером.
Три вида затрат внутри одного «группового сообщения»
Рассмотрим упрощённую группу из N участников. Это пояснительная модель, а не измеренный тест производительности Livara:
| Операция | Попарные копии сообщения | Схема с ключами отправителя |
|---|---|---|
| Отправитель загружает обычное содержимое | Могут потребоваться отдельные зашифрованные копии для получателей | После настройки можно загрузить один групповой шифротекст |
| Установление или распространение ключей | Попарные сеансы должны существовать и поддерживаться | Материал отправителя должен попасть к авторизованным получателям |
| Ретранслятор доставляет сообщение группе | Получателям всё равно нужны их копии | Получателям всё равно нужны их копии |
| Изменения состава группы | Необходимо обновлять сеансы и политику доступа | Может потребоваться повторное распространение свежего материала отправителя |
«Постоянный размер загрузки отправителя» описывает лишь часть этой модели. Это не означает постоянный суммарный сетевой трафик, нулевые затраты при изменении состава группы или одинаковую производительность на всех устройствах.
Спецификация MLS, RFC 9420 IETF рассматривает эффективность ключей отправителя и дополнительную работу для восстановления безопасности после компрометации. MLS использует другой подход на основе дерева. Различие архитектурное, а не рейтинг, объявляющий одну схему универсально лучшей.
Где постквантовое установление ключей добавляет затраты
ML-KEM вносит материал открытого ключа и инкапсуляции, который больше распространённых представлений на эллиптических кривых. Но протоколу не обязательно выполнять новый обмен KEM для каждого сообщения. Настройка, периодическая смена ключей и обычное симметричное шифрование могут иметь разную стоимость. NIST FIPS 203 определяет наборы параметров ML-KEM, а не полный формат передачи данных мессенджера.
Поэтому умножение размера шифротекста KEM на «100 пользователей» само по себе не предсказывает трафик на сообщение в чате из 100 участников. Ответ также зависит от повторного использования сеансов, оформления сообщений в сетевые блоки, устройств получателей, повторных передач и того, загружаются ли вложения один раз или копируются.
Корректное сравнение указывает количество групп и устройств, размеры сообщений и вложений, частоту изменений состава, сборку клиента и условия сети. Без этих подробностей точные цифры килобайтов или расхода батареи могут вводить в заблуждение.
Что Livara говорит о LGS1
Страница безопасности Livara описывает LGS1 как схему цепочек отправителей для приватных групп. Ключевой материал каждого отправителя распространяется внутри попарных сеансов LVR1; групповые сообщения используют полученную цепочку, а документация описывает свежие ключи отправителей при присоединении или выходе участников.
Это документированная архитектура поставщика, а не независимо проверенный результат измерения производительности. Она позволяет объяснить предполагаемое разделение распространения ключей и обычных сообщений. Она не обосновывает утверждения, что каждая групповая загрузка составляет ровно 1,1 КБ, что вся система имеет стоимость доставки O(1) или что расход батареи был измерен и признан пренебрежимо малым.
Смена ключей — часть бюджета безопасности
Удаления участника из интерфейса недостаточно, если у него остаются ключи, способные расшифровывать будущий трафик. Безопасный переход должен исключать удалённые устройства из распространения новых ключей и обеспечивать переход оставшихся клиентов в правильное состояние. Уже полученные сообщения и скопированные файлы невозможно криптографически отозвать.
Прямая секретность ключей отправителя и восстановление после компрометации также зависят от продвижения цепочек ключей, удаления секретов и момента введения свежего материала. Их нельзя выводить лишь из использования постквантового KEM при настройке.
Вопросы для практической оценки группового чата
- Обычный текст загружается один раз от отправителя или отдельно для каждого устройства получателя?
- Какие события сменяют ключи и что происходит, пока участник не в сети?
- Как представлены добавленные устройства и удалённые участники?
- Защищены ли вложения и ключи их расшифрования теми же правилами членства?
- Какие метаданные остаются видимыми ретранслятору?
- Воспроизводимы ли результаты производительности на предполагаемых телефонах и в предполагаемой сети?
Модель угроз Livara различает приватные группы и публичные каналы и описывает видимую информацию маршрутизации. Публичные публикации и распространение ключей приватной группы не следует объединять одним заявлением о «зашифрованных каналах».
Ключи отправителя могут сократить повторяющуюся работу. Полезный инженерный вопрос — куда эта работа перемещается, какие события заставляют повторять её и насколько безопасно группа меняет состав.
