Gruppmeddelanden med avsändarnycklar kan undvika att kryptera en separat kopia av varje vanligt meddelande för varje mottagare. En avsändare distribuerar nyckelmaterial genom säkra parvisa kanaler och använder sedan en avsändarkedja för gruppmeddelanden. Det kan minska avsändarens upprepade uppladdningsarbete, men det gör inte den totala kostnaden för att leverera ett meddelande oberoende av gruppens storlek.
Skilj på uppladdning av vanliga meddelanden, nyckeldistribution och serverleverans innan du jämför bandbreddspåståenden.
Tre kostnader dolda i ett enda ”gruppmeddelande”
Tänk dig en förenklad grupp med N medlemmar. Detta är en förklaringsmodell, inte ett uppmätt prestandatest av Livara:
| Åtgärd | Parvisa meddelandekopior | Design med avsändarnycklar |
|---|---|---|
| Avsändaren laddar upp vanligt innehåll | Kan kräva separata krypterade kopior för mottagarna | Kan ladda upp en enda gruppchiffertext efter etableringen |
| Nyckeletablering eller nyckeldistribution | Parvisa sessioner måste finnas och underhållas | Avsändarens material måste nå behöriga mottagare |
| Reläet levererar till gruppen | Mottagarna behöver fortfarande sina kopior | Mottagarna behöver fortfarande sina kopior |
| Medlemsändringar | Sessioner och åtkomstpolicy måste uppdateras | Nytt avsändarmaterial kan behöva distribueras på nytt |
”Avsändaruppladdning av konstant storlek” beskriver en del av modellen. Det betyder inte konstant total nätverkstrafik, ingen kostnad för medlemsändringar eller identisk prestanda på alla enheter.
IETF:s MLS-specifikation, RFC 9420, diskuterar avsändarnycklars effektivitet och det extra arbete som krävs för att återställa säkerheten efter ett intrång. MLS använder en annan, trädbaserad metod. Skillnaden gäller arkitektur, inte en rangordning som gör en design bäst i alla lägen.
Var postkvantnyckeletablering tillför extra kostnader
ML-KEM bidrar med material för publika nycklar och inkapsling som är större än vanliga representationer med elliptiska kurvor. Men ett protokoll behöver inte utföra ett nytt KEM-utbyte för varje meddelande. Etablering, regelbundna nyckelbyten och vanlig symmetrisk kryptering kan ha olika kostnader. NIST FIPS 203 definierar ML-KEM:s parameteruppsättningar, inte en meddelandetjänsts fullständiga överföringsformat.
Därför räcker det inte att multiplicera storleken på en KEM-chiffertext med ”100 användare” för att förutsäga trafiken per meddelande i en chatt med 100 medlemmar. Svaret beror även på återanvändning av sessioner, meddelandeinramning, mottagarnas enheter, omsändningar och om bilagor laddas upp en gång eller kopieras.
En rättvis jämförelse anger antalet grupper och enheter, meddelande- och bilagestorlekar, medlemsomsättning, klientversionens bygge och nätverksförhållanden. Utan dessa detaljer kan exakta kilobyte- eller batterisiffror vara missvisande.
Vad Livara säger om LGS1
Livaras säkerhetssida beskriver LGS1 som en avsändarkedjedesign för privata grupper. Varje avsändares nyckelmaterial distribueras inom parvisa LVR1-sessioner; gruppmeddelanden använder den resulterande kedjan, och dokumentationen beskriver nya avsändarnycklar när medlemmar går med eller lämnar.
Detta är leverantörens dokumenterade arkitektur, inte ett oberoende verifierat prestandaresultat. Den ger stöd för att förklara den avsedda åtskillnaden mellan nyckeldistribution och vanliga meddelanden. Den ger inte stöd för att varje gruppuppladdning är exakt 1,1 KB, att hela systemet har leveranskostnaden O(1) eller att batterianvändningen har uppmätts som försumbar.
Nyckelbyten ingår i säkerhetsbudgeten
Att ta bort en medlem från ett gränssnitt är otillräckligt om medlemmen fortfarande har nycklar som kan dekryptera framtida trafik. En säker övergång måste utesluta borttagna enheter från ny nyckeldistribution och säkerställa att kvarvarande klienter övergår till rätt tillstånd. Tidigare mottagna meddelanden och kopierade filer kan inte återkallas kryptografiskt.
Framåtsekretess för avsändarnycklar och återhämtning efter kompromettering beror också på hur nyckelkedjorna utvecklas, vilka hemligheter som raderas och när nytt material tillförs. De bör inte antas enbart på grund av att ett postkvant-KEM används vid etableringen.
Frågor för en praktisk utvärdering av gruppchatt
- Laddas vanlig text upp en gång per avsändare eller separat för varje mottagarenhet?
- Vilka händelser roterar nycklarna, och vad händer när en medlem är offline?
- Hur representeras tillagda enheter och borttagna medlemmar?
- Skyddas bilagor och deras dekrypteringsnycklar av samma medlemsregler?
- Vilka metadata förblir synliga för reläet?
- Går prestandaresultaten att reproducera på de avsedda telefonerna och nätverket?
Livaras hotmodell skiljer privata grupper från offentliga kanaler och dokumenterar synlig routningsinformation. Offentlig publicering och distribution av nycklar för privata grupper bör inte kombineras i ett enda påstående om ”krypterade kanaler”.
Avsändarnycklar kan spara upprepat arbete. Den användbara ingenjörsfrågan är vart arbetet flyttas, vilka händelser som gör att det återkommer och hur säkert gruppen ändrar medlemskap.
