Een ketenstap per bericht en een postkwantumverversing per epoch lossen verschillende delen van het ratchetprobleem op.
Een hybride postkwantumratchet werkt berichtensleutels bij met zowel klassiek als postkwantummateriaal. Het doel is om onder zorgvuldig omschreven aannames bescherming te behouden als één component kwetsbaar wordt, en tegelijkertijd de schade van bepaalde sleutelcompromitteringen in de loop van de tijd te beperken.
Livara documenteert deze aanpak voor LVR1 met P-256 en ML-KEM-768. Om het ontwerp te begrijpen, moet onderscheid worden gemaakt tussen de initiële sleutelvaststelling, gewone updates van de berichtenketen en periodieke postkwantumverversingen. Het is niet dezelfde bewerking die bij elk bericht wordt uitgevoerd.
Van een gedeeld geheim naar veranderende berichtensleutels
Een mechanisme voor sleutelvaststelling geeft deelnemers geheim materiaal dat zij in een sleutelafleidingsschema kunnen gebruiken. Een ratchetprotocol ontwikkelt vervolgens de toestand verder en leidt berichtensleutels af, in plaats van één onveranderde inhoudssleutel voor het hele gesprek te behouden.
NIST FIPS 203 specificeert ML-KEM, waaronder de parameterset ML-KEM-768. Het brengt een gedeeld geheim tot stand; een geauthenticeerd versleutelingsalgoritme zoals AES-GCM versleutelt de berichtinhoud. Authenticatie en de manier waarop componenten worden gecombineerd, horen bij het overkoepelende protocol.
Livara’s beveiligingsoverzicht beschrijft hybride sleutelvaststelling, onafhankelijke klassieke en postkwantumwortels, eenrichtingsketens voor verzenden en ontvangen die met berichten voortschrijden, en periodieke ML-KEM-epochupdates. Volgens die beschrijving wordt een berichtensleutel gecombineerd met de huidige postkwantumwortel voordat inhoud en header worden beschermd.
Die beschrijving mag niet worden herschreven als “voor elk bericht vinden een nieuwe P-256-uitwisseling en een nieuwe ML-KEM-inkapseling plaats”. Een ketenstap kan een relatief goedkope sleutelafleidingsstap zijn.
Wat een epoch verandert
Een epoch is een periode van de protocoltoestand die aan een bepaalde verversing is gekoppeld. Grotere berichten voor sleutelvaststelling over epochs verdelen kan herhaalde communicatieoverhead verminderen, maar maakt de verversingsregels ook relevant voor de beveiliging.
Een beoordelaar zou moeten vragen:
- Wat activeert een nieuwe epoch: een teller, tijd, een handeling van de gesprekspartner of een andere voorwaarde?
- Hoe worden epochidentificatoren en sleutelmateriaal geauthenticeerd?
- Wat gebeurt er met vertraagde, dubbele of in de verkeerde volgorde ontvangen berichten?
- Hoe behandelt een client een ontbrekende update of een oudere, incompatibele gesprekspartner?
- Welke oude geheimen blijven bewaard voor vertraagde bezorging, en wanneer worden ze verwijderd?
Een implementatie heeft nauwkeurige antwoorden nodig. Het woord “periodiek” alleen is geen volledige specificatie voor herstel of interoperabiliteit.
De omvang van primitieven kwantificeren zonder een benchmark te verzinnen
FIPS 203 geeft ML-KEM-768 een inkapselingssleutel van 1.184 bytes en een cijfertekst van 1.088 bytes. Dit zijn coderingen van primitieven, niet de totale omvang van een Livara-bericht of handshake. Protocolheaders, handtekeningen, framing en hoe vaak elke waarde wordt verzonden bepalen het werkelijke verkeer.
Ook de grootte van P-256-sleutels hangt af van de representatie. Een gecomprimeerd curvepunt en een ongecomprimeerd punt hebben bijvoorbeeld verschillende gecodeerde lengtes. Een niet nader aangeduide “P-256-sleutelgrootte” vergelijken met een ML-KEM-cijfertekst is geen volledige bandbreedteanalyse.
Om de kosten van een ratchet te beoordelen, meet u bytes per gesprek en epoch, CPU-tijd, geheugen, radio-ontwakingen en end-to-endlatentie op representatieve apparaten. Vermeld de build- en netwerkomstandigheden. Zonder die metingen zijn noch “verwaarloosbare gevolgen voor de accu” noch een universele uitvoeringstijd van minder dan een milliseconde gerechtvaardigd.
Forward secrecy en herstel na compromittering
Forward secrecy beoogt eerdere berichten te beschermen nadat bepaalde latere geheimen zijn blootgelegd, mits de vereiste oude geheimen zijn gewist. Post-compromise security gaat over het terugwinnen van bescherming nadat een aanvaller het eindpunt niet meer beheerst en nieuw geheim materiaal dat de aanvaller niet kent, het protocol binnenkomt.
De Double Ratchet-specificatie legt deze verschillen en de grenzen van herstel na een inbraak uit. Voortdurende malwaretoegang, gemanipuleerde willekeur of een actieve aanvaller die de relevante uitwisselingen beheerst, kunnen het gehoopte herstel verhinderen. Nog één bericht versturen bewijst niet dat een gestolen sessie is ingetrokken of een gecompromitteerde telefoon schoon is.
Een hybride constructie heeft ook deugdelijke authenticatie en combinatie nodig. “De aanvaller moet beide algoritmen breken” is een beoogde eigenschap onder de aannames van de constructie, geen onvoorwaardelijke uitspraak die implementatiefouten of kwaadaardige eindpunten afdekt.
Houd de functiegrenzen zichtbaar
In Livara’s documentatie worden LGS1-groepszendersleutels verspreid via paarsgewijze LVR1-sessies. Dat betekent niet dat een groepszenderketen structureel identiek is aan een Double Ratchet voor directe chats. De huidige beveiligingspagina sluit ook oudere incompatibele groepen uit van E2EE en vereist dat leden gereed zijn voordat een nieuwe versleutelde groep wordt aangemaakt.
Bijlagen hebben eigen inhoudssleutels die binnen het beschermde gesprek worden vervoerd. Gesprekken en optionele serveropname vereisen een afzonderlijke beoordeling; leid geen postkwantumbescherming van media af uitsluitend omdat een signaleringspad een hybride sessie gebruikt. Openbare kanalen en operationele metadata vallen buiten de vertrouwelijkheid van privé-inhoud.
Wat zou het vertrouwen versterken?
Zoek naar een specificatie met versienummers, interoperabiliteits- en foutgevaltests, onafhankelijke beoordeling en een duidelijk verband tussen beoordeelde broncode en de uitgeleverde client. Standaardalgoritmen leveren nuttige onderbouwing voor componenten, geen certificering van hun samenstelling.
Livara’s Proof Lab demonstreert geselecteerde klassieke primitieven en sluit de volledige LVR1/LGS1-samenstelling uitdrukkelijk uit van die lokale testomgeving. Het dreigingsmodel blijft noodzakelijke context. Samen helpen deze materialen vragen te formuleren; ze mogen niet worden gepresenteerd als vervanging voor een volledige beoordeling van protocol en implementatie.
