پیشروی زنجیره برای هر پیام و تازه‌سازی دورهٔ پساکوانتومی، بخش‌های متفاوتی از مسئلهٔ جغجغه را حل می‌کنند.
جغجغهٔ ترکیبی پساکوانتومی، کلیدهای پیام‌رسانی را با استفاده از مواد کلاسیک و پساکوانتومی به‌روزرسانی می‌کند. هدف این است که با فرض‌های دقیقاً تعریف‌شده، اگر یکی از اجزا آسیب‌پذیر شد، حفاظت حفظ شود و هم‌زمان آسیب ناشی از افشای برخی کلیدها در گذر زمان محدود بماند.
لیوارا این رویکرد را برای LVR1 با استفاده از P-256 و ML-KEM-768 مستند کرده است. برای فهم طراحی باید برقراری اولیهٔ کلید، به‌روزرسانی‌های عادی زنجیرهٔ پیام و تازه‌سازی‌های دوره‌ای پساکوانتومی را از هم جدا کرد. این‌ها یک عملیات واحد نیستند که برای تک‌تک پیام‌ها انجام شود.
از راز مشترک تا کلیدهای متغیر پیام
سازوکار برقراری کلید، مواد محرمانه‌ای در اختیار مشارکت‌کنندگان می‌گذارد که می‌توانند در برنامهٔ تولید کلید به کار ببرند. سپس پروتکل جغجغه وضعیت را پیش می‌برد و کلیدهای پیام را مشتق می‌کند، به‌جای آنکه یک کلید محتوای ثابت را برای تمام گفت‌وگو نگه دارد.
NIST FIPS 203، الگوریتم ML-KEM و از جمله مجموعه‌پارامتر ML-KEM-768 را مشخص می‌کند. این سازوکار یک راز مشترک برقرار می‌کند؛ رمز احرازشده‌ای مانند AES-GCM محتوای پیام را رمزگذاری می‌کند. احراز اصالت و نحوهٔ ترکیب اجزا، به پروتکل گسترده‌تر مربوط است.
نمای کلی امنیت لیوارا، برقراری ترکیبی کلید، ریشه‌های مستقل کلاسیک و پساکوانتومی، زنجیره‌های یک‌طرفهٔ ارسال و دریافت که همراه پیام‌ها پیش می‌روند و به‌روزرسانی دوره‌ای ML-KEM را توصیف می‌کند. طبق این توضیح، کلید پیام پیش از حفاظت از محتوا و سرآیند با ریشهٔ پساکوانتومی جاری ترکیب می‌شود.
نباید این توصیف را به این صورت بازنویسی کرد که «برای هر پیام، یک تبادل تازهٔ P-256 و یک کپسوله‌سازی تازهٔ ML-KEM انجام می‌شود». پیشروی زنجیره می‌تواند یک مرحلهٔ نسبتاً کم‌هزینهٔ مشتق‌سازی کلید باشد.
یک دوره چه چیزی را تغییر می‌دهد؟
دوره یا epoch، بازه‌ای از وضعیت پروتکل است که با یک تازه‌سازی مشخص ارتباط دارد. زمان‌بندی پیام‌های بزرگ‌تر برقراری کلید در طول دوره‌ها می‌تواند سربار تکراری ارتباط را کاهش دهد، اما در عین حال قواعد تازه‌سازی را از نظر امنیتی مهم می‌کند.
بازبین باید بپرسد:
- چه چیزی دورهٔ تازه را آغاز می‌کند: شمارنده، زمان، اقدام طرف مقابل یا شرطی دیگر؟
- شناسه‌های دوره و مواد کلید چگونه احراز اصالت می‌شوند؟
- برای پیام‌های تأخیردار، تکراری یا خارج از ترتیب چه اتفاقی می‌افتد؟
- کلاینت چگونه با به‌روزرسانی ازدست‌رفته یا طرف مقابلِ قدیمی و ناسازگار برخورد می‌کند؟
- کدام اسرار قدیمی برای تحویل تأخیردار باقی می‌مانند و چه زمانی کنار گذاشته می‌شوند؟
پیاده‌سازی به پاسخ‌های دقیق نیاز دارد. واژهٔ «دوره‌ای» به‌تنهایی مشخصات کامل بازیابی یا تعامل‌پذیری نیست.
اندازه‌گیری اندازهٔ اجزای پایه بدون ساختن بنچمارک خیالی
FIPS 203 برای ML-KEM-768 اندازهٔ کلید کپسوله‌سازی را ۱٬۱۸۴ بایت و اندازهٔ متن رمز را ۱٬۰۸۸ بایت تعیین می‌کند. این‌ها اندازهٔ کدگذاری اجزای پایه‌اند، نه اندازهٔ کل یک پیام یا دست‌دهی لیوارا. سرآیندهای پروتکل، امضاها، قاب‌بندی و دفعات ارسال هر مقدار، ترافیک واقعی را تعیین می‌کنند.
اندازهٔ کلیدهای P-256 نیز به شیوهٔ نمایش بستگی دارد. برای مثال، نقطهٔ فشرده و نقطهٔ غیرفشردهٔ منحنی، طول کدگذاری متفاوتی دارند. مقایسهٔ «اندازهٔ کلید P-256» بدون مشخص‌کردن نمایش آن با متن رمز ML-KEM، تحلیل کامل پهنای باند نیست.
برای ارزیابی هزینهٔ جغجغه، تعداد بایت در هر گفت‌وگو و هر دوره، زمان CPU، حافظه، دفعات بیدارشدن رادیو و تأخیر سرتاسری را روی دستگاه‌های نماینده اندازه بگیرید. شرایط بیلد و شبکه را گزارش کنید. بدون این اندازه‌گیری‌ها، نه «اثر ناچیز بر باتری» توجیه دارد و نه زمان اجرای کمتر از یک میلی‌ثانیه برای همهٔ شرایط.
محرمانگی پیشرو و بازیابی پس از نفوذ
هدف محرمانگی پیشرو، حفاظت از پیام‌های قبلی پس از افشای برخی اسرار بعدیِ مشخص است، مشروط به اینکه اسرار قدیمیِ لازم پاک شده باشند. امنیت پس از نفوذ به بازگشت حفاظت زمانی مربوط است که مهاجم دیگر نقطهٔ پایانی را کنترل نمی‌کند و مواد محرمانهٔ تازه‌ای که برای او ناشناخته‌اند وارد پروتکل می‌شوند.
مشخصات Double Ratchet این تفاوت‌ها و محدودیت‌های بازیابی پس از نفوذ را توضیح می‌دهد. دسترسی مداوم بدافزار، تصادفی‌بودنِ دست‌کاری‌شده یا مهاجم فعالی که تبادل‌های مربوط را کنترل می‌کند، می‌تواند بازیابی مورد انتظار را شکست دهد. ارسال یک پیام دیگر ثابت نمی‌کند که نشست دزدیده‌شده لغو شده یا تلفن آلوده پاک‌سازی شده است.
ساختار ترکیبی نیز به احراز اصالت و ترکیب درست نیاز دارد. «مهاجم باید هر دو الگوریتم را بشکند» یک ویژگی مورد نظر تحت فرض‌های آن ساختار است، نه ادعایی بی‌قیدوشرط که خطاهای پیاده‌سازی یا نقاط پایانی مخرب را هم پوشش دهد.
مرز قابلیت‌ها را روشن نگه دارید
در مستندات لیوارا، کلیدهای فرستندهٔ گروه LGS1 از طریق نشست‌های دونفرهٔ LVR1 توزیع می‌شوند. این به معنای یکسان‌بودن ساختار زنجیرهٔ فرستندهٔ گروه با جغجغهٔ دوگانهٔ چت مستقیم نیست. صفحهٔ امنیت فعلی، گروه‌های قدیمی و ناسازگار را نیز از E2EE مستثنا می‌کند و پیش از ساخت گروه رمزگذاری‌شدهٔ جدید، آماده‌بودن اعضا را لازم می‌داند.
پیوست‌ها کلیدهای محتوای خود را دارند که درون گفت‌وگوی محافظت‌شده حمل می‌شوند. تماس‌ها و ضبط اختیاری روی سرور به بررسی جداگانه نیاز دارند؛ صرفاً به این دلیل که مسیر سیگنال‌دهی از نشست ترکیبی استفاده می‌کند، نباید حفاظت پساکوانتومی رسانه را نتیجه گرفت. کانال‌های عمومی و فراداده‌های عملیاتی خارج از محرمانگی محتوای خصوصی‌اند.
چه چیزی اطمینان را بیشتر می‌کند؟
به دنبال مشخصات نسخه‌دار، آزمون‌های تعامل‌پذیری و حالت‌های شکست، بازبینی مستقل و رابطه‌ای روشن میان کد منبع بازبینی‌شده و کلاینت عرضه‌شده باشید. الگوریتم‌های استاندارد، شواهد مفیدی دربارهٔ اجزا هستند، نه گواهی تأیید ترکیب آن‌ها.
Proof Lab لیوارا اجزای پایهٔ کلاسیک منتخب را نمایش می‌دهد و ترکیب کامل LVR1/LGS1 را صراحتاً از آن بنچ محلی کنار می‌گذارد. مدل تهدید آن همچنان زمینهٔ ضروری است. این منابع در کنار هم به صورت‌بندی پرسش‌ها کمک می‌کنند؛ نباید آن‌ها را جایگزین ارزیابی کامل پروتکل و پیاده‌سازی معرفی کرد.
