Просування ланцюжка для кожного повідомлення та оновлення постквантової епохи розв’язують різні частини завдання храповика.
Гібридний постквантовий храповик оновлює ключі повідомлень, використовуючи і класичний, і постквантовий матеріал. Мета — зберегти захист за ретельно визначених припущень, якщо один компонент стане вразливим, водночас обмежуючи з часом шкоду від певних компрометацій ключів.
Livara документує цей підхід для LVR1 із P-256 та ML-KEM-768. Щоб зрозуміти конструкцію, слід розрізняти початкове встановлення ключів, звичайні оновлення ланцюжка повідомлень і періодичні постквантові оновлення. Це не одна й та сама операція, яку виконують для кожного повідомлення.
Від спільного секрету до змінних ключів повідомлень
Механізм встановлення ключів дає учасникам секретний матеріал, який можна використати у схемі вироблення ключів. Потім протокол храповика розвиває стан і виводить ключі повідомлень, замість зберігати один незмінний ключ вмісту для всієї розмови.
NIST FIPS 203 визначає ML-KEM, зокрема набір параметрів ML-KEM-768. Він встановлює спільний секрет; автентифікований шифр, як-от AES-GCM, шифрує корисне навантаження повідомлення. Автентифікація та спосіб поєднання компонентів належать до ширшого протоколу.
Огляд безпеки Livara описує гібридне встановлення, незалежні класичні й постквантові корені, односторонні ланцюжки надсилання/отримання, що просуваються з повідомленнями, та періодичні оновлення епох ML-KEM. У ньому зазначено, що ключ повідомлення поєднується з поточним постквантовим коренем перед захистом вмісту й заголовка.
Цей опис не слід переписувати як «для кожного повідомлення відбуваються новий обмін P-256 і нова інкапсуляція ML-KEM». Просування ланцюжка може бути порівняно недорогим кроком вироблення ключа.
Що змінює епоха
Епоха — період стану протоколу, пов’язаний із певним оновленням. Планування більших повідомлень встановлення ключів у межах різних епох може знизити повторювані комунікаційні витрати, але також робить правила оновлення важливими для безпеки.
Перевіряльнику варто запитати:
- Що запускає нову епоху: лічильник, час, дія співрозмовника чи інша умова?
- Як автентифікуються ідентифікатори епох і ключовий матеріал?
- Що відбувається із затриманими, дубльованими або отриманими не за порядком повідомленнями?
- Як клієнт обробляє пропущене оновлення чи старішого несумісного співрозмовника?
- Які старі секрети залишаються для затриманої доставки й коли їх видаляють?
Реалізації потрібні точні відповіді. Саме слово «періодичний» не є повною специфікацією відновлення чи сумісності.
Кількісна оцінка розмірів примітивів без вигаданих тестів
FIPS 203 задає для ML-KEM-768 розмір ключа інкапсуляції 1 184 байти та розмір шифротексту 1 088 байтів. Це кодування примітивів, а не повний розмір повідомлення чи рукостискання Livara. Реальний трафік визначають заголовки протоколу, підписи, обрамлення та частота надсилання кожного значення.
Розміри ключів P-256 також залежать від представлення. Наприклад, стиснена й нестиснена точки кривої мають різну довжину кодування. Порівняння неуточненого «розміру ключа P-256» із шифротекстом ML-KEM не є повним аналізом пропускної здатності.
Щоб оцінити витрати храповика, вимірюйте байти на розмову й епоху, час CPU, пам’ять, пробудження радіомодуля та наскрізну затримку на репрезентативних пристроях. Повідомляйте умови збірки й мережі. Без цих вимірювань не обґрунтовані ані «незначний вплив на батарею», ані універсальний час виконання менше мілісекунди.
Пряма секретність і відновлення після компрометації
Пряма секретність має захищати попередні повідомлення після розкриття визначених пізніших секретів, за умови видалення потрібних старих секретів. Безпека після компрометації стосується відновлення захисту після того, як атакувальник більше не контролює кінцевий пристрій і до протоколу надходить свіжий секретний матеріал, невідомий атакувальнику.
Специфікація Double Ratchet пояснює ці відмінності та межі відновлення після зламу. Збережений доступ шкідливого ПЗ, маніпуляції випадковістю чи активний атакувальник, що контролює відповідні обміни, можуть зірвати очікуване відновлення. Надсилання ще одного повідомлення не доводить, що викрадену сесію відкликано або скомпрометований телефон очищено.
Гібридній конструкції також потрібні коректна автентифікація й поєднання. «Атакувальник має зламати обидва алгоритми» — цільова властивість за припущень конструкції, а не безумовне твердження, що охоплює помилки реалізації чи зловмисні кінцеві пристрої.
Зберігайте видимими межі функцій
У документації Livara ключі відправників груп LGS1 поширюються через попарні сесії LVR1. Це не означає, що ланцюжок відправника групи структурно ідентичний подвійному храповику особистого чату. Поточна сторінка безпеки також виключає старіші несумісні групи з E2EE і вимагає готовності учасників перед створенням нової зашифрованої групи.
Вкладення мають власні ключі вмісту, які передаються всередині захищеної розмови. Дзвінки й необов’язковий запис на сервері потребують окремого аналізу; не робіть висновок про постквантовий захист медіаданих лише тому, що шлях сигналізації використовує гібридну сесію. Публічні канали й операційні метадані перебувають поза конфіденційністю приватного вмісту.
Що зміцнило б довіру?
Шукайте версіоновану специфікацію, тести сумісності та випадків відмови, незалежну перевірку й чіткий зв’язок між перевіреним вихідним кодом і клієнтом, який постачається. Стандартні алгоритми є корисними свідченнями щодо компонентів, а не сертифікацією їх композиції.
Proof Lab Livara демонструє окремі класичні примітиви і явно виключає повну композицію LVR1/LGS1 із цього локального тестового стенда. Її модель загроз залишається необхідним контекстом. Разом ці матеріали допомагають сформулювати запитання; їх не слід представляти як заміну повному оцінюванню протоколу та реалізації.
