混合后量子棘轮：ML-KEM-768 与 P-256

逐消息推进链与刷新后量子周期，解决的是棘轮问题中的不同部分。

混合后量子棘轮使用经典和后量子材料共同更新消息密钥。其目标是在经过严格界定的假设下，即使其中一个组件变得脆弱，仍能保留保护，同时限制特定密钥泄露随时间造成的损害。

Livara 在 LVR1 文档中说明了使用 P-256 和 ML-KEM-768 的这种方法。理解该设计，需要区分初始密钥建立、普通消息链更新和周期性的后量子刷新。它们不是每条消息上都执行的同一个操作。

从共享秘密到不断变化的消息密钥

密钥建立机制为参与者提供可用于密钥调度的秘密材料。随后，棘轮协议演进状态并派生消息密钥，而不是在整个对话中始终保留一个不变的内容密钥。

NIST FIPS 203 规定了 ML-KEM，包括 ML-KEM-768 参数集。它建立一个共享秘密；AES-GCM 等认证加密算法则加密消息载荷。认证以及各组件的组合方式，属于更广泛的协议范畴。

Livara 的安全概览描述了混合密钥建立、相互独立的经典根和后量子根、随消息推进的单向发送和接收链，以及周期性的 ML-KEM 周期更新。它指出，消息密钥会先与当前后量子根结合，再用于内容和标头保护。

这段说明不应被改写为“每条消息都会发生一次新的 P-256 交换和一次新的 ML-KEM 封装”。链推进可以是成本相对较低的密钥派生步骤。

周期是与某次特定刷新相关联的一段协议状态时期。将较大的密钥建立消息安排在不同周期中发送，可以减少重复通信开销，但也使刷新规则与安全密切相关。

审查者应当问：

实现需要给出精确答案。仅有“周期性”一词，并不是完整的恢复或互操作性规范。

FIPS 203 规定 ML-KEM-768 的封装密钥大小为 1,184 字节，密文大小为 1,088 字节。这些是原语的编码大小，不是 Livara 消息或握手的总大小。协议标头、签名、成帧方式，以及每个值的发送频率，决定了实际流量。

P-256 密钥大小也取决于表示方式。例如，压缩曲线点和未压缩点的编码长度不同。将一个未标注表示方式的“P-256 密钥大小”与 ML-KEM 密文进行比较，并不构成完整的带宽分析。

要评估棘轮成本，应在有代表性的设备上测量每次对话和每个周期的字节数、CPU 时间、内存、无线电唤醒次数及端到端延迟，并报告构建和网络条件。没有这些测量，就不能证明“电池影响可忽略”，也不能证明普遍适用的亚毫秒执行时间。

前向保密旨在某些指定的后续秘密暴露后保护先前消息，前提是所需的旧秘密已被擦除。泄露后安全关注的是：攻击者不再控制端点，并且攻击者不知道的新秘密材料进入协议后，如何重新获得保护。

Double Ratchet 规范解释了这些区别以及入侵后恢复的限制。恶意软件持续访问、被操纵的随机性，或者控制相关交换的主动攻击者，都可能破坏预期的恢复。再发送一条消息，并不能证明被盗会话已撤销，或遭入侵的手机已清理干净。

混合构造同样需要可靠的认证和组合方式。“攻击者必须破解两种算法”是该构造在其假设下的预期性质，而不是涵盖实现错误或恶意端点的无条件声明。

在 Livara 文档中，LGS1 群组发送者密钥通过成对的 LVR1 会话分发。这并不意味着群组发送链在结构上与私聊双棘轮完全相同。当前安全页面还将较旧且不兼容的群组排除在端到端加密范围之外，并要求成员准备就绪后才能创建新的加密群组。

附件具有自己的内容密钥，这些密钥在受保护的对话内传递。通话和可选的服务器录制需要单独审查；不能仅因信令路径使用混合会话，就推断媒体具有后量子保护。公开频道和运营元数据不属于私密内容保密的范围。

应寻找带版本的规范、互操作性和失败情形测试、独立审查，以及受审源代码与实际交付客户端之间的明确关系。标准算法是关于组件的有用证据，却不是对其组合的认证。

Livara 的 Proof Lab演示了选定的经典原语，并明确将完整的 LVR1/LGS1 组合排除在该本地测试台之外。其威胁模型仍是必要背景。这些材料共同有助于界定问题，但不应被当作完整协议和实现评估的替代品。