Wer aus einer verschlüsselten Gruppe entfernt wird, sollte die für künftige geschützte Nachrichten benötigten Geheimnisse nicht mehr erhalten. Eine Änderung der Mitgliederliste allein erreicht das nicht, wenn die verbleibenden Absender weiterhin Schlüsselmaterial verwenden, das das ehemalige Mitglied bereits kennt.
Auch erfolgt der Übergang in einem unzuverlässigen Netzwerk nicht überall gleichzeitig. Ein sicherer Gruppenentwurf muss festlegen, zu welchem Mitgliedschaftszustand eine Nachricht gehört und was ein Absender tut, bevor er eine Entfernung verarbeitet hat.
Vergangene und künftige Nachrichten sind unterschiedliche Probleme
Ein ehemaliges Mitglied kann Nachrichten, Dateien und Schlüssel behalten, die es während seiner berechtigten Teilnahme erhalten hat. Eine Entfernung kann diese Person weder die Vergangenheit vergessen lassen noch ihre Screenshots löschen.
Das erreichbare Ziel ist, sie von neuem kryptografischem Zustand nach Wirksamwerden der Entfernung auszuschließen. Ebenso wirft das Hinzufügen einer Person eine separate Frage auf: ob sie Zugang zum alten Verlauf erhält. Produkte und Protokolle verwenden Begriffe wie Forward Secrecy in unterschiedlichen Zusammenhängen. Deshalb ist eine einfache Beschreibung der beabsichtigten Zugriffsregel oft klarer als ein mehrdeutiges Schlagwort.
Warum Gruppen mit Senderschlüsseln neuen Zustand benötigen
Bei einem Senderschlüsselentwurf kann jeder Teilnehmer gewöhnliche Gruppennachrichten mit einer Kette verschlüsseln, die mit den zugelassenen Empfängern geteilt wird. So lässt sich vermeiden, den gesamten Inhalt bei jedem Senden für jeden Empfänger separat zu verschlüsseln.
Nach einer Entfernung besitzt ein ehemaliges Mitglied möglicherweise noch die alte Kette. Verbleibende Absender benötigen daher einen Ersatzzustand, der nicht an das ausgeschlossene Mitglied verteilt wird, und die Clients benötigen einen vereinbarten Mitgliedschaftskontext für seine Verwendung. Der Wechsel muss die relevanten Absender und Geräte abdecken; ein einzelnes serverseitiges Kennzeichen zu ändern genügt nicht.
Das genaue Protokoll ist entscheidend. MLS, spezifiziert in RFC 9420, behandelt eine Entfernung durch einen verbindlich übernommenen Epochenwechsel, der den verbleibenden Mitgliedern neue Entropie liefert. Das ist ein Beispiel für einen definierten Zustandsübergang, keine Behauptung, dass Livara MLS implementiert.
Was Livara für LGS1 dokumentiert
Livaras Sicherheitsseite beschreibt eine signierte Senderkette pro Absender, wobei Senderschlüssel über paarweise LVR1-Sitzungen verteilt werden. Sie besagt, dass bei Änderungen der Mitgliedschaft neue Senderschlüssel erzeugt und verteilt werden.
Das stützt eine Aussage über den veröffentlichten Entwurf zum Schlüsselwechsel. Es belegt weder eine gemessene Zeit für „sofortigen Widerruf“ noch, dass sämtliche Wettlaufsituationen, Offline-Geräteszenarien und Wiederholungsversuche korrekt behandelt werden. Dafür sind Implementierungsanalyse und Tests erforderlich.
Serverseitige Mitgliedschaftskontrollen und kryptografischer Ausschluss haben zudem unterschiedliche Aufgaben. Der Dienst kann Zustellung oder Zugriff verweigern, während die Verschlüsselung verhindern sollte, dass eine ausgeschlossene Partei mit einer Kopie späteren Geheimtexts diesen ohne die neuen Geheimnisse öffnen kann.
Ein nützlicher Testplan für Entfernungen
Prüfen Sie in einer autorisierten Testgruppe folgende Szenarien mit nicht sensiblen Nachrichten:
| Szenario | Zu klärende Frage |
|---|---|
| Ein Mitglied wird entfernt, während alle online sind | Welche Nachricht gehört als erste zum neuen Mitgliedschaftszustand? |
| Ein verbleibender Absender ist offline | Muss er Mitgliedschaft und Schlüssel aktualisieren, bevor er wieder sendet? |
| Das entfernte Mitglied verbindet sich später erneut | Kann es neue Senderschlüsselverteilungen erhalten oder nur alte, zuvor autorisierte Inhalte? |
| Mehrere Mitgliedschaften ändern sich gleichzeitig | Erreichen alle verbleibenden Geräte denselben Zustand? |
| Eine alte Nachricht wird erneut gesendet | Bleibt ihre ursprüngliche Epoche erhalten, statt sie fälschlich als neuen Inhalt zu kennzeichnen? |
Ein reiner Oberflächentest kann sichtbares Verhalten bestätigen, aber allein keinen kryptografischen Ausschluss beweisen. Eine strenge Bewertung muss untersuchen, welche Schlüssel und Geheimtexte ein ausgeschlossenes Testgerät erhalten kann.
Was Administratoren beachten sollten
Entfernen Sie nicht benötigte Teilnehmer, prüfen Sie die verbleibenden Mitgliedschaften und senden Sie kein neues sensibles Material, bevor die Anwendung die Änderung verarbeitet hat. Leitet ein aktueller Teilnehmer Inhalte absichtlich weiter, kann ein Gruppenschlüsselwechsel diese Offenlegung nicht verhindern.
Fragen Sie bei besonders sensibler Nutzung den Anbieter nach der genauen Bedeutung einer Entfernung, dem Verhalten beim Gerätewiderruf und Testnachweisen. Entscheidend ist eine klar definierte Grenze für künftige Nachrichten, nicht die unbelegte Behauptung, eine Entfernen-Schaltfläche zerstöre jede frühere Kopie.
