加密群聊带宽：发送者密钥与 LGS1

使用发送者密钥的群消息机制，可以避免为每条普通消息的每个接收者分别加密一份副本。发送者通过安全的两两通信通道分发密钥材料，然后使用发送者链处理群消息。这可以减少发送者重复上传的工作，但并不意味着传递一条消息的总成本与群规模无关。

比较带宽宣称之前，应区分普通消息上传、密钥分发和服务器投递。

一条“群消息”中隐藏的三种成本

考虑一个有 N 名成员的简化群组。这是用于解释的模型，不是对 Livara 的实测基准：

操作	两两消息副本	发送者密钥设计
发送者上传普通内容	可能需要为接收者分别生成加密副本	初始化后可以上传一份群密文
密钥建立或分发	必须建立并维护两两会话	发送者材料必须送达获得授权的接收者
中继向群组投递	接收者仍需收到各自的副本	接收者仍需收到各自的副本
成员变化	必须更新会话和访问策略	可能需要重新分发新的发送者材料

“发送者上传量固定”只描述这个模型的一部分。它不意味着总网络流量固定、成员变化的成本为零，或所有设备的性能相同。

IETF 的 MLS 规范 RFC 9420讨论了发送者密钥的效率，以及在失陷后恢复安全所需的额外工作。MLS 使用另一种基于树的方法。这种区别属于架构层面，不是认定某种设计在所有情况下都最优的排名。

后量子密钥建立在哪里增加开销

ML-KEM 引入的公钥和封装材料，比常见椭圆曲线表示更大。但协议不必为每条消息都执行一次新的 KEM 交换。初始化、定期换钥和普通对称加密的成本可以不同。NIST FIPS 203定义的是 ML-KEM 参数集，而不是某个通信应用完整的线上传输格式。

因此，仅将 KEM 密文大小乘以“100 名用户”，并不能预测一个百人群每条消息的流量。答案还取决于会话复用、消息封装、接收者设备、重传，以及附件是只上传一次还是复制多份。

公平的比较应说明群组和设备数量、消息和附件大小、成员变动情况、客户端构建版本和网络条件。没有这些细节，精确的千字节数或电池消耗数字可能误导读者。

Livara 如何描述 LGS1

Livara 的安全页面将 LGS1 描述为面向私密群组的发送者链设计。每个发送者的密钥材料在两两 LVR1 会话内部进行分发；群消息使用生成的链，文档还说明了成员加入或离开时会使用新的发送者密钥。

这是提供方记录的架构，不是经过独立验证的性能结果。它支持解释密钥分发与普通消息之间预期的分工，却不能支持以下宣称：每次群上传恰好为 1.1 KB、整个系统的投递成本为 O(1)，或电池消耗已经测得可忽略不计。

换钥是安全成本的一部分

如果某个成员仍持有能够解密未来流量的密钥，仅从界面中移除该成员是不够的。安全的转换必须将被移除的设备排除在新密钥分发之外，并确保剩余客户端进入正确的状态。此前收到的消息和复制的文件无法通过密码学手段收回。

发送者密钥的前向保密和失陷后恢复，还取决于密钥链如何推进、哪些秘密被删除，以及何时引入新材料。不能仅凭初始化时使用了后量子 KEM 就推断具备这些属性。

实际评估群聊时应问的问题

• 普通文本是由每个发送者上传一次，还是为每台接收设备分别上传？
• 哪些事件触发密钥轮换，成员离线时会发生什么？
• 如何表示新增设备和被移除的成员？
• 附件及其解密密钥是否受相同的成员规则保护？
• 哪些元数据对中继仍然可见？
• 性能结果是否能在目标手机和网络上复现？

Livara 的威胁模型区分了私密群组与公开频道，并记录了可见的路由信息。不应把公开发布与私密群组的密钥分发合并成一个“加密频道”的宣称。

发送者密钥可以减少重复工作。真正有用的工程问题是：这些工作转移到了哪里，哪些事件会让它再次发生，以及群组如何安全地变更成员。