La messagerie de groupe à clés d’émetteur peut éviter de chiffrer une copie distincte de chaque message ordinaire pour chaque destinataire. Un émetteur distribue du matériel de clé par des canaux sécurisés entre paires, puis utilise une chaîne d’émetteur pour les messages de groupe. Cela peut réduire les envois répétés de l’émetteur, mais cela ne rend pas le coût total de livraison d’un message indépendant de la taille du groupe.
Distinguez l’envoi des messages ordinaires, la distribution des clés et la livraison par le serveur avant de comparer les affirmations sur la bande passante.
Trois coûts cachés dans un « message de groupe »
Prenons un groupe simplifié de N membres. Il s’agit d’un modèle explicatif, pas d’un test de performance mesuré de Livara :
| Opération | Copies de message entre paires | Conception à clés d’émetteur |
|---|---|---|
| L’émetteur envoie du contenu ordinaire | Peut nécessiter des copies chiffrées distinctes pour les destinataires | Peut envoyer un seul texte chiffré de groupe après la configuration |
| Établissement ou distribution des clés | Des sessions entre paires doivent exister et être entretenues | Le matériel de l’émetteur doit atteindre les destinataires autorisés |
| Le relais livre au groupe | Les destinataires ont toujours besoin de leurs copies | Les destinataires ont toujours besoin de leurs copies |
| Changements de membres | Les sessions et la politique d’accès doivent être mises à jour | Du nouveau matériel d’émetteur peut devoir être redistribué |
« Envoi de taille constante par l’émetteur » décrit une partie de ce modèle. Cela ne signifie ni un trafic réseau total constant, ni un coût nul des changements de membres, ni des performances identiques sur tous les appareils.
La spécification MLS, RFC 9420, de l’IETF traite de l’efficacité des clés d’émetteur et du travail supplémentaire nécessaire pour retrouver la sécurité après une compromission. MLS utilise une approche différente fondée sur un arbre. La distinction est architecturale : ce n’est pas un classement qui rendrait une conception universellement meilleure.
Où l’établissement de clés post-quantique ajoute des surcoûts
ML-KEM apporte des clés publiques et du matériel d’encapsulation plus volumineux que les représentations courantes sur courbes elliptiques. Mais un protocole n’a pas à effectuer un nouvel échange KEM pour chaque message. La configuration, le renouvellement périodique des clés et le chiffrement symétrique ordinaire peuvent avoir des coûts différents. NIST FIPS 203 définit les jeux de paramètres de ML-KEM, pas le format complet transmis sur le réseau par une messagerie.
C’est pourquoi multiplier la taille d’un texte chiffré KEM par « 100 utilisateurs » ne prédit pas, à lui seul, le trafic par message d’une conversation de 100 membres. La réponse dépend aussi de la réutilisation des sessions, du format des messages, des appareils destinataires, des retransmissions et du fait que les pièces jointes soient envoyées une seule fois ou copiées.
Une comparaison équitable précise le nombre de groupes et d’appareils, la taille des messages et des pièces jointes, les changements de membres, la version compilée du client et les conditions réseau. Sans ces détails, des chiffres précis en kilo-octets ou de consommation de batterie peuvent induire en erreur.
Ce que dit Livara à propos de LGS1
La page de sécurité de Livara décrit LGS1 comme une conception à chaînes d’émetteur pour les groupes privés. Le matériel de clé de chaque émetteur est distribué au sein de sessions LVR1 entre paires ; les messages de groupe utilisent la chaîne résultante, et la documentation décrit de nouvelles clés d’émetteur lorsque des membres rejoignent ou quittent le groupe.
Il s’agit de l’architecture documentée par le fournisseur, pas d’un résultat de performance vérifié indépendamment. Elle permet d’expliquer la séparation prévue entre la distribution des clés et les messages ordinaires. Elle ne justifie pas d’affirmer que chaque envoi de groupe fait exactement 1,1 Ko, que l’ensemble du système a un coût de livraison en O(1), ou que la consommation de batterie a été mesurée comme négligeable.
Le renouvellement des clés fait partie du budget de sécurité
Retirer un membre d’une interface ne suffit pas si ce membre possède encore des clés capables de déchiffrer le trafic futur. Une transition sûre doit exclure les appareils retirés de la nouvelle distribution de clés et garantir que les clients restants passent au bon état. Les messages déjà reçus et les fichiers copiés ne peuvent pas être rappelés par la cryptographie.
La confidentialité persistante et la récupération après compromission avec des clés d’émetteur dépendent aussi de la façon dont les chaînes de clés progressent, des secrets supprimés et du moment où du nouveau matériel est introduit. Elles ne doivent pas être déduites du seul usage d’un KEM post-quantique lors de la configuration.
Questions pour une évaluation pratique d’une conversation de groupe
- Le texte ordinaire est-il envoyé une fois par émetteur ou séparément pour chaque appareil destinataire ?
- Quels événements déclenchent la rotation des clés, et que se passe-t-il lorsqu’un membre est hors ligne ?
- Comment les appareils ajoutés et les membres retirés sont-ils représentés ?
- Les pièces jointes et leurs clés de déchiffrement sont-elles protégées par les mêmes règles d’appartenance ?
- Quelles métadonnées restent visibles pour le relais ?
- Les résultats de performance sont-ils reproductibles sur les téléphones et le réseau visés ?
Le modèle de menace de Livara distingue les groupes privés des canaux publics et documente les informations de routage visibles. La publication publique et la distribution de clés de groupes privés ne doivent pas être réunies dans une seule affirmation sur des « canaux chiffrés ».
Les clés d’émetteur peuvent économiser du travail répété. La question d’ingénierie utile est de savoir où ce travail est déplacé, quels événements le rendent à nouveau nécessaire et avec quelle sécurité le groupe change de membres.
