Продвижение цепочки для каждого сообщения и обновление постквантовой эпохи решают разные части задачи храповика.
Гибридный постквантовый храповик обновляет ключи сообщений, используя одновременно классический и постквантовый материал. Цель — сохранить защиту при тщательно определённых предположениях, если один компонент станет уязвимым, и со временем ограничивать ущерб от определённых компрометаций ключей.
Livara описывает этот подход для LVR1 с использованием P-256 и ML-KEM-768. Для понимания конструкции нужно различать первоначальное установление ключей, обычные обновления цепочки сообщений и периодические постквантовые обновления. Это не одна и та же операция, выполняемая для каждого сообщения.
От общего секрета к меняющимся ключам сообщений
Механизм установления ключей даёт участникам секретный материал для схемы выработки ключей. Затем протокол храповика развивает состояние и выводит ключи сообщений, а не сохраняет один неизменный ключ содержимого для всего разговора.
NIST FIPS 203 определяет ML-KEM, включая набор параметров ML-KEM-768. Он устанавливает общий секрет; аутентифицированный шифр, например AES-GCM, шифрует полезную нагрузку сообщения. Аутентификация и способ объединения компонентов относятся к протоколу в целом.
В обзоре безопасности Livara описаны гибридное установление, независимые классические и постквантовые корни, однонаправленные цепочки отправки/приёма, продвигающиеся с сообщениями, и периодические обновления эпох ML-KEM. Там говорится, что ключ сообщения объединяется с текущим постквантовым корнем перед защитой содержимого и заголовка.
Не следует пересказывать это как «для каждого сообщения выполняются новый обмен P-256 и новая инкапсуляция ML-KEM». Продвижение цепочки может быть сравнительно недорогим шагом выработки ключа.
Что меняет эпоха
Эпоха — период состояния протокола, связанный с определённым обновлением. Распределение более крупных сообщений установления ключей по эпохам может снизить повторяющиеся коммуникационные расходы, но также делает правила обновления значимыми для безопасности.
Проверяющему стоит спросить:
- Что запускает новую эпоху: счётчик, время, действие собеседника или другое условие?
- Как аутентифицируются идентификаторы эпох и ключевой материал?
- Что происходит с задержанными, дублирующимися или пришедшими не по порядку сообщениями?
- Как клиент обрабатывает пропущенное обновление или старого несовместимого собеседника?
- Какие старые секреты сохраняются для задержанной доставки и когда удаляются?
Реализации нужны точные ответы. Одно слово «периодический» не является полной спецификацией восстановления или совместимости.
Размеры примитивов без выдуманных результатов тестирования
FIPS 203 задаёт для ML-KEM-768 размер ключа инкапсуляции 1 184 байта и размер шифротекста 1 088 байт. Это кодировки примитивов, а не полный размер сообщения или рукопожатия Livara. Реальный трафик определяется заголовками протокола, подписями, обрамлением и частотой передачи каждого значения.
Размеры ключей P-256 также зависят от представления. Например, сжатая и несжатая точки кривой имеют разную длину кодировки. Сравнение неуточнённого «размера ключа P-256» с шифротекстом ML-KEM не является полноценным анализом пропускной способности.
Для оценки затрат храповика измеряйте байты на разговор и эпоху, время CPU, память, пробуждения радиомодуля и сквозную задержку на типичных устройствах. Указывайте условия сборки и сети. Без этих измерений нельзя обосновать ни «незначительное влияние на батарею», ни универсальное время выполнения менее миллисекунды.
Прямая секретность и восстановление после компрометации
Прямая секретность призвана защищать предыдущие сообщения после раскрытия определённых более поздних секретов, при условии удаления необходимых старых секретов. Безопасность после компрометации касается восстановления защиты после того, как атакующий утратил контроль над конечным устройством и в протокол поступил свежий секретный материал, неизвестный атакующему.
Спецификация Double Ratchet объясняет эти различия и ограничения восстановления после взлома. Сохраняющийся доступ вредоносного ПО, манипуляции случайностью или активный атакующий, контролирующий соответствующие обмены, могут сорвать ожидаемое восстановление. Отправка ещё одного сообщения не доказывает, что украденная сессия отозвана или скомпрометированный телефон очищен.
Гибридной конструкции также нужны корректная аутентификация и объединение. «Атакующий должен взломать оба алгоритма» — целевое свойство при предположениях конструкции, а не безусловное утверждение, охватывающее ошибки реализации или вредоносные конечные устройства.
Не скрывайте границы функций
В документации Livara ключи отправителей групп LGS1 распространяются через попарные сессии LVR1. Это не означает, что цепочка отправителя группы структурно идентична двойному храповику личного чата. Текущая страница безопасности также исключает старые несовместимые группы из E2EE и требует готовности участников перед созданием новой зашифрованной группы.
У вложений есть собственные ключи содержимого, передаваемые внутри защищённого разговора. Звонки и необязательная серверная запись требуют отдельного анализа; нельзя выводить постквантовую защиту медиаданных только из того, что путь сигнализации использует гибридную сессию. Публичные каналы и операционные метаданные находятся вне конфиденциальности приватного содержимого.
Что укрепило бы уверенность?
Ищите версионируемую спецификацию, тесты совместимости и сценариев отказа, независимую проверку и ясную связь между проверенным исходным кодом и поставляемым клиентом. Стандартные алгоритмы дают полезные сведения о компонентах, но не сертифицируют их композицию.
Proof Lab Livara демонстрирует отдельные классические примитивы и явно исключает полную композицию LVR1/LGS1 из этого локального тестового стенда. Её модель угроз остаётся необходимым контекстом. Вместе эти материалы помогают сформулировать вопросы; их нельзя представлять как замену полной оценке протокола и реализации.
