Стандартизованный компонент — отправная точка для проверки, а не сертификат на весь мессенджер.
ML-KEM-768 помогает двум сторонам установить общий секрет, который затем можно использовать для защиты сообщений. Это один компонент системы обмена сообщениями, а не полный протокол чата, не шифр сообщений и не сертификат безопасности приложения.
NIST опубликовал FIPS 203 13 августа 2024 года, стандартизовав ML-KEM и его наборы параметров 512, 768 и 1024. Их безопасность основана на задачах на решётках, которые считаются устойчивыми к квантовым атакам. «Считаются устойчивыми» — предположение безопасности, подкреплённое анализом, а не обещание невозможности будущих слабостей. NIST FIPS 203.
Место KEM в зашифрованном чате
Полезный способ понять заявление о шифровании — проследить за ключевым материалом:
- Аутентифицировать нужного собеседника. Обмен ключами с самозванцем остаётся обменом ключами не с тем человеком.
- Установить общий секретный материал. KEM вносит секрет посредством инкапсуляции и декапсуляции.
- Вывести ключи для конкретных целей. Функция выработки ключей разделяет материал, используемый разными частями протокола.
- Шифровать и аутентифицировать сообщения. Схема аутентифицированного шифрования защищает содержимое и обнаруживает несанкционированные изменения.
- Управлять сеансом с течением времени. Ротация и удаление ключей, смена устройств и восстановление определяют, что может раскрыть последующая компрометация.
Эти шаги объясняют, почему стандарт для второго шага не может подтвердить безопасность всего приложения. Частые вопросы NIST о постквантовой криптографии дают контекст для внедрения новых стандартов.
Зачем сочетать ML-KEM с классическим согласованием ключей?
Гибридная схема использует постквантовый компонент вместе с классическим, например Диффи — Хеллманом на эллиптических кривых. Её предполагаемое преимущество — не зависеть исключительно от одного из наборов предположений в переходный период.
Утверждение о безопасности относится к полному механизму объединения и протоколу, а не просто к списку из двух алгоритмов. Проверяющим нужно знать, какие входные данные аутентифицируются, как они кодируются и объединяются, какой контекст связывается с выработкой ключей и что происходит при отказе компонента. Конкатенация секретов без определённой конструкции — не аргумент в пользу безопасности.
Для пользователей практический вопрос — не «Написано ли в настройках “квантово-безопасно”?», а «Какие разговоры и версии действительно используют эту конструкцию и какие доказательства подтверждают это утверждение?»
Что документирует Livara
Документация по безопасности Livara описывает сеансы личных чатов LVR1 с классическим материалом P-256 и ML-KEM-768 и AES-256-GCM для содержимого. Она описывает закрытые группы LGS1 как цепочки отправителей, распространяемые через попарные сеансы LVR1. Это разные уровни: обычное групповое сообщение не обязательно представляет собой новый обмен ML-KEM для каждого получателя.
Читайте эту документацию как описание разработчика. Упоминание стандартизованных примитивов не доказывает, что собственная композиция Livara прошла независимый аудит или что каждая установленная сборка реализует её правильно. Proof Lab явно ограничивает свою браузерную демонстрацию: она не выполняет полные храповики LVR1/LGS1 и не является аудитом протокола.
Чего не охватывает постквантовая защита
| Вопрос | Почему одного ML-KEM недостаточно для ответа |
|---|---|
| Может ли получатель скопировать моё сообщение? | Получатель получает читаемое содержимое. |
| Свободно ли моё устройство от шпионского ПО? | Целостность конечной точки — отдельное предположение доверия. |
| Защищены ли резервные копии? | Ключам резервного копирования и правилам восстановления нужна собственная схема. |
| Безопасны ли изменения состава группы? | Важны правила аутентификации, членства и смены ключей. |
| Сохраняет ли сервис метаданные? | Шифрование содержимого автоматически не скрывает маршрутизацию или время. |
| Защищён ли звонок так же, как текстовый чат? | Сигнализация звонка и медиаданные могут использовать другие протоколы. |
Модель угроз Livara также различает личные разговоры и публичные каналы и признаёт риски раскрытия на уровне устройства. Не распространяйте заявление о личных чатах на все области продукта.
Памятка покупателю «мессенджера с FIPS 203»
Запросите точный набор параметров и версию протокола; описание аутентификации собеседника и объединения ключей; поддерживаемые версии клиентов; поведение с несовместимыми клиентами; а также тесты или результаты проверок, привязанные к поставляемой реализации. Если поставщик заявляет о валидации FIPS, запросите соответствующую запись о валидации и область её охвата. Использование алгоритма, описанного в публикации FIPS, само по себе не доказывает валидацию продукта или модуля.
Не выводите время работы от батареи, пропускную способность или отзывчивость приложения из названия набора параметров. Для этого нужны измерения с документированными устройством, сборкой и нагрузкой.
Полезное изменение для обмена сообщениями — новый инструмент долгосрочной конфиденциальности. Его ценность зависит от интеграции, реализации и эксплуатационных границ, а не от замены одного маркетингового ярлыка другим.
