应比较明确操作的成本和针对明确威胁的证据，而不只是把树形图与发送者密钥图放在一起。
消息层安全协议（MLS）与 Livara 的 LGS1，并不是两张可以互换的群聊安全证书。MLS 是 IETF 协议标准；LGS1 是 Livara 已公开文档的产品专用设计。 公平比较两者，需要区分架构、实现证据与用户实际体验到的行为。
关键区别在于基于树的共享群组状态，与通过两两会话分发的发送者密钥。单凭任一名称，都无法知道某个应用能否正确处理被移除成员、状态过时的设备或遭泄露的密钥。
架构上的区别
RFC 9420定义了用于异步群组密钥建立的 MLS。它采用棘轮树和群组时期，在所述条件下提供前向保密及入侵后安全性。随着群组规模增长，树结构降低了某些密钥更新成本。
Livara 的安全文档将 LGS1 描述为每位成员各有一条带签名的发送者链，通过 LVR1 两两会话分发，并在成员变化时轮换。这是产品声明，不能证明 LGS1 符合 MLS 或接受了同样的分析。
| 问题 | MLS | Livara LGS1 文档 |
|---|---|---|
| 共享结构 | 棘轮树与时期 | 每个发送者各自的链 |
| 密钥更新 | 将群组状态变更提交到新时期 | 向成员分发新的发送者密钥 |
| 规范状态 | IETF 标准 RFC9420 | 已发布的产品专用说明 |
| 仍需评估什么 | 应用集成与实现 | 完整规范、实现和独立证据 |
此表描述的是设计类别，不是基准测试或安全排名。
“对数级”意味着什么，又不意味着什么
一次密码学更新可以使用对数数量的加密树路径组件，却不意味着系统中所有工作量都是对数级。消息仍需分发，客户端仍要保存状态，行为还取决于群组结构和操作。过去“MLS 需要 O(log N) 条消息，而 LGS1 的所有操作都更快”的比较混淆了不同成本，也没有提供测量结果。
MLS 架构 RFC 9750将传递服务与密码学密钥建立分开处理，并讨论消息分发及群组变更的排序。这一区分很重要：客户端计算量、提交中的字节数、服务器总分发量和重连流量，是不同指标。
有意义的性能报告应说明：
- 群组规模和每个人的设备数量；
- 操作是普通消息、移除成员、密钥更新还是重连；
- 发起客户端发送的字节数与总传递流量的区别；
- 耗时、设备型号、实现版本及网络条件；
- 错过更新和反复改变成员所带来的成本。
没有这些细节，“毫秒级”“状态开销低”或在特定群组规模下更优的说法都尚未得到证实。
移除成员是生命周期测试
管理员移除账户，只是安全问题的一部分。客户端必须就新的成员状态达成一致，使用合适的新密钥，并避免将这些密钥交给被排除的设备。已经持有旧明文或旧密钥的人，可能仍能访问旧内容；移除无法让其副本消失。
对于任一系统，有用的测试应询问：移除完成后，被移除设备能否解密一条新的非敏感测试消息？此前离线的成员能否安全跟上更新？是否处理了该账户的所有设备？界面是否清楚显示故障或成员变化？
这些是建议的评估问题，不是在此进行的测试结果。产品比较应公布观察结果和测试版本，而不是把管理员成功点击按钮等同于密码学层面的排除。
前向保密与恢复都有条件
后续发生密钥泄露后，旧消息能否保持受保护，取决于是否退役旧的秘密材料。未来消息能否恢复保护，取决于攻击者失去相关访问权限之后是否纳入新秘密。在 MLS 中，处理群组更新是恢复过程的一部分；仅仅发送更新，不等于每位成员都已应用更新。参见 RFC 9420中的安全注意事项。
对于发送者密钥设计，应询问如何替换和重新分发各发送者已泄露的状态。不应将单向链本身描述成能够自动摆脱知晓其当前状态的攻击者。重新分发时使用的两两保护很重要，但不能替代完整的群组层面分析。
后量子声明需要具体密码套件与范围
基础 RFC9420 定义的密码套件使用经典公钥机制。MLS 可以扩展，因此针对某个实现的声明应注明其实际套件和扩展，而不是宣称所有 MLS 部署永远只能是经典方案。
LGS1 文档中使用混合 LVR1 分发的说法，与针对所有群组操作、经过独立分析的后量子保障，是不同的声明。FIPS 203将 ML-KEM 标准化，但并不认证使用它的完整群组协议。应一起评估认证、成员变更、密钥泄露与实现，而不只是看 KEM 的名称。
决定采用产品之前应索取什么
索取当前协议规范、测试向量，以及针对具体版本的独立审查，包括尚未解决的发现。随后比较常规产品需求：支持的设备、更新行为、恢复、管理角色和服务器保留的数据。
MLS 架构明确考虑了应用服务及其信任假设。同样，应将 Livara 的威胁模型与产品声明一起阅读。加密不会让获授权的参与者变得可信，不会阻止截图，也不会消除所有形式的元数据。
如果缺少证据，应记录“尚未证实”，而不是自动把一种设计标为不安全或更优。决策应反映群组面临的风险，以及现有证据的质量。
常见问题
LGS1 是 MLS 的实现吗？
已发布的说明展示了不同架构。本文不会把 LGS1 认定为 MLS 实现，也不声称两者可互操作。
MLS 要求所有成员同时在线吗？
不要求。异步使用是其设计的一部分。应用仍需制定处理延迟更新、过时状态和长期离线成员的策略。
后量子密钥分发能解决群组安全的全部问题吗？
不能。它解决的是密钥建立的一部分。身份、成员关系、密钥生命周期、端点安全与实现，仍然需要证据。
哪种设计更快？
本文没有证明胜者的基准测试。应测量对您的群组重要的操作和部署环境。
