Gruppennachrichten mit Sender Keys können vermeiden, dass für jede gewöhnliche Nachricht für jeden Empfänger eine eigene Kopie verschlüsselt wird. Ein Sender verteilt Schlüsselmaterial über sichere paarweise Kanäle und verwendet anschließend eine Senderkette für Gruppennachrichten. Das kann wiederholte Upload-Arbeit des Senders verringern, aber es macht die Gesamtkosten der Nachrichtenzustellung nicht unabhängig von der Gruppengröße.
Trennen Sie gewöhnlichen Nachrichten-Upload, Schlüsselverteilung und Serverzustellung, bevor Sie Bandbreitenangaben vergleichen.
Drei Kosten hinter einer „Gruppennachricht“
Betrachten wir eine vereinfachte Gruppe mit N Mitgliedern. Dies ist ein Erklärungsmodell, kein gemessener Livara-Benchmark:
| Vorgang | Paarweise Nachrichtenkopien | Sender-Key-Design |
|---|---|---|
| Sender lädt gewöhnliche Inhalte hoch | Kann separate verschlüsselte Kopien für Empfänger erfordern | Kann nach der Einrichtung einen Gruppen-Geheimtext hochladen |
| Schlüsselvereinbarung oder -verteilung | Paarweise Sitzungen müssen bestehen und gepflegt werden | Sendermaterial muss berechtigte Empfänger erreichen |
| Relay stellt an die Gruppe zu | Empfänger benötigen weiterhin ihre Kopien | Empfänger benötigen weiterhin ihre Kopien |
| Änderungen der Mitgliedschaft | Sitzungs- und Zugriffsregeln müssen aktualisiert werden | Neues Sendermaterial muss möglicherweise erneut verteilt werden |
„Sender-Upload konstanter Größe“ beschreibt einen Teil dieses Modells. Es bedeutet weder konstanten gesamten Netzwerkverkehr noch kostenfreie Mitgliedschaftsänderungen oder identische Leistung auf jedem Gerät.
Die MLS-Spezifikation RFC 9420 der IETF erläutert die Effizienz von Sender Keys und den zusätzlichen Aufwand, um nach einer Kompromittierung wieder Sicherheit herzustellen. MLS verwendet einen anderen, baumbasierten Ansatz. Der Unterschied betrifft die Architektur; er ist keine Rangfolge, die ein Design grundsätzlich zum besten macht.
Wo postquantenfeste Schlüsselvereinbarung Mehraufwand verursacht
ML-KEM bringt öffentliche Schlüssel und Kapselungsmaterial mit, die größer als übliche Darstellungen elliptischer Kurven sind. Ein Protokoll muss jedoch nicht für jede Nachricht einen neuen KEM-Austausch durchführen. Einrichtung, regelmäßige Schlüsselwechsel und gewöhnliche symmetrische Verschlüsselung können unterschiedliche Kosten haben. NIST FIPS 203 definiert die ML-KEM-Parametersätze, nicht das vollständige Übertragungsformat eines Messengers.
Deshalb sagt die Multiplikation der Größe eines KEM-Geheimtexts mit „100 Nutzern“ allein nicht den Verkehr pro Nachricht in einem Chat mit 100 Mitgliedern voraus. Die Antwort hängt auch von Sitzungswiederverwendung, Nachrichtenformatierung, Empfängergeräten, erneuten Übertragungen und davon ab, ob Anhänge einmal hochgeladen oder kopiert werden.
Ein fairer Vergleich nennt Gruppen- und Geräteanzahl, Nachrichten- und Anhangsgrößen, Mitgliedschaftswechsel, Client-Build und Netzwerkbedingungen. Ohne diese Angaben können genaue Kilobyte- oder Akkuwerte irreführen.
Was Livara über LGS1 sagt
Livaras Sicherheitsseite beschreibt LGS1 als Senderketten-Design für private Gruppen. Das Schlüsselmaterial jedes Senders wird innerhalb paarweiser LVR1-Sitzungen verteilt; Gruppennachrichten verwenden die daraus entstehende Kette. Die Dokumentation beschreibt neue Senderschlüssel, wenn Mitglieder beitreten oder austreten.
Dies ist die dokumentierte Architektur des Anbieters, kein unabhängig überprüftes Leistungsergebnis. Sie ermöglicht, die beabsichtigte Trennung zwischen Schlüsselverteilung und gewöhnlichen Nachrichten zu erläutern. Sie stützt nicht die Behauptung, dass jeder Gruppen-Upload genau 1,1 KB groß ist, das gesamte System Zustellkosten von O(1) hat oder der Akkuverbrauch als vernachlässigbar gemessen wurde.
Schlüsselwechsel gehören zum Sicherheitsbudget
Ein Mitglied aus einer Oberfläche zu entfernen reicht nicht aus, wenn es weiterhin Schlüssel besitzt, die zukünftigen Verkehr entschlüsseln können. Ein sicherer Übergang muss entfernte Geräte von der neuen Schlüsselverteilung ausschließen und sicherstellen, dass verbleibende Clients in den richtigen Zustand wechseln. Bereits empfangene Nachrichten und kopierte Dateien lassen sich kryptografisch nicht zurückrufen.
Forward Secrecy und Wiederherstellung nach einer Kompromittierung bei Sender Keys hängen außerdem davon ab, wie Schlüsselketten fortschreiten, welche Geheimnisse gelöscht und wann neue Materialien eingeführt werden. Sie sollten nicht allein aus der Verwendung eines postquantenfesten KEM bei der Einrichtung abgeleitet werden.
Fragen für eine praktische Gruppenchat-Bewertung
- Wird gewöhnlicher Text einmal pro Sender oder getrennt pro Empfängergerät hochgeladen?
- Welche Ereignisse wechseln die Schlüssel, und was geschieht, während ein Mitglied offline ist?
- Wie werden hinzugefügte Geräte und entfernte Mitglieder abgebildet?
- Sind Anhänge und ihre Entschlüsselungsschlüssel durch dieselben Mitgliedschaftsregeln geschützt?
- Welche Metadaten bleiben für das Relay sichtbar?
- Sind Leistungsergebnisse auf den vorgesehenen Telefonen und im vorgesehenen Netzwerk reproduzierbar?
Livaras Bedrohungsmodell unterscheidet private Gruppen von öffentlichen Kanälen und dokumentiert sichtbare Routing-Informationen. Öffentliches Veröffentlichen und die Schlüsselverteilung privater Gruppen sollten nicht zu einer einzigen Behauptung über „verschlüsselte Kanäle“ zusammengefasst werden.
Sender Keys können wiederholte Arbeit einsparen. Die nützliche technische Frage lautet, wohin diese Arbeit verlagert wird, welche Ereignisse sie erneut erforderlich machen und wie sicher die Gruppe ihre Mitgliedschaft verändert.
