העברת הודעות קבוצתיות באמצעות מפתחות שולח יכולה לחסוך הצפנה של עותק נפרד מכל הודעה רגילה לכל נמען. שולח מפיץ חומר מפתחות בערוצים זוגיים מאובטחים, ואז משתמש בשרשרת שולח להודעות הקבוצה. כך ניתן לצמצם את עבודת ההעלאה החוזרת של השולח, אך העלות הכוללת של מסירת הודעה אינה הופכת לבלתי תלויה בגודל הקבוצה.
לפני השוואת טענות על רוחב פס, יש להפריד בין העלאת הודעות רגילות, הפצת מפתחות ומסירה בידי השרת.
שלוש עלויות שמסתתרות ב״הודעה קבוצתית״ אחת
נבחן קבוצה מפושטת ובה N חברים. זהו מודל הסברי, לא מבחן ביצועים שנמדד ב־Livara:
| פעולה | עותקי הודעה זוגיים | תכנון עם מפתחות שולח |
|---|---|---|
| השולח מעלה תוכן רגיל | ייתכן שיידרשו עותקים מוצפנים נפרדים לנמענים | לאחר ההקמה אפשר להעלות טקסט מוצפן קבוצתי אחד |
| כינון מפתחות או הפצתם | חייבות להתקיים שיחות זוגיות מתוחזקות | חומר השולח חייב להגיע לנמענים המורשים |
| שרת הממסר מוסר לקבוצה | הנמענים עדיין זקוקים לעותקים שלהם | הנמענים עדיין זקוקים לעותקים שלהם |
| שינויים בחברות בקבוצה | יש לעדכן את השיחות ואת מדיניות הגישה | ייתכן שתידרש הפצה מחדש של חומר שולח טרי |
״העלאה בגודל קבוע מצד השולח״ מתארת חלק אחד במודל. אין פירושה תעבורת רשת כוללת קבועה, אפס עלות לשינויי חברות, או ביצועים זהים בכל מכשיר.
מפרט MLS, RFC 9420 של IETF דן ביעילות מפתחות שולח ובעבודה הנוספת הדרושה לשיקום האבטחה לאחר פגיעה. MLS משתמש בגישה אחרת המבוססת על עץ. ההבחנה היא ארכיטקטונית, ולא דירוג שהופך תכנון אחד לטוב ביותר בכל מצב.
היכן כינון מפתחות פוסט־קוונטי מוסיף תקורה
ML-KEM מוסיף חומר של מפתח ציבורי וכימוס שגודלו גדול מזה של ייצוגים נפוצים המבוססים על עקומות אליפטיות. אך פרוטוקול אינו חייב לבצע חילוף KEM חדש לכל הודעה. להקמה, להחלפת מפתחות תקופתית ולהצפנה סימטרית רגילה עשויות להיות עלויות שונות. NIST FIPS 203 מגדיר את קבוצות הפרמטרים של ML-KEM, ולא את פורמט התעבורה המלא של יישום מסרים.
לכן הכפלת גודל הטקסט המוצפן של KEM ב״100 משתמשים״ אינה מנבאת, כשלעצמה, את התעבורה לכל הודעה בצ׳אט של 100 חברים. התשובה תלויה גם בשימוש חוזר בשיחות, במיסגור ההודעות, במכשירי הנמענים, בשידורים חוזרים ובשאלה אם קבצים מצורפים מועלים פעם אחת או מועתקים.
השוואה הוגנת מציינת את מספר הקבוצות והמכשירים, את גודלי ההודעות והקבצים המצורפים, את תחלופת החברים, את גרסת הבנייה של הלקוח ואת תנאי הרשת. בלי הפרטים האלה, נתונים מדויקים בקילובייט או על צריכת הסוללה עלולים להטעות.
מה Livara אומרת על LGS1
דף האבטחה של Livara מתאר את LGS1 כתכנון של שרשראות שולח לקבוצות פרטיות. חומר המפתחות של כל שולח מופץ בתוך שיחות LVR1 זוגיות; הודעות הקבוצה משתמשות בשרשרת שנוצרת, והתיעוד מתאר מפתחות שולח טריים כשחברים מצטרפים או עוזבים.
זוהי הארכיטקטורה המתועדת של הספק, ולא תוצאת ביצועים שאומתה באופן עצמאי. היא מאפשרת להסביר את ההפרדה המיועדת בין הפצת מפתחות לבין הודעות רגילות. היא אינה מבססת טענה שכל העלאה קבוצתית היא בדיוק 1.1 KB, שלמערכת כולה יש עלות מסירה O(1), או שצריכת הסוללה נמדדה ונמצאה זניחה.
החלפת מפתחות היא חלק מתקציב האבטחה
הסרת חבר מהממשק אינה מספיקה אם ברשותו עדיין מפתחות המסוגלים לפענח תעבורה עתידית. מעבר מאובטח חייב להחריג מכשירים שהוסרו מהפצת המפתחות החדשים ולוודא ששאר הלקוחות עוברים למצב הנכון. אי אפשר להשיב לאחור באמצעים קריפטוגרפיים הודעות שכבר התקבלו וקבצים שכבר הועתקו.
סודיות קדימה של מפתחות שולח והתאוששות לאחר פגיעה תלויות גם באופן התקדמות שרשראות המפתחות, בסודות שנמחקים ובמועד הכנסת חומר טרי. אין להסיק אותן מעצם השימוש ב־KEM פוסט־קוונטי בזמן ההקמה.
שאלות להערכה מעשית של צ׳אט קבוצתי
- האם טקסט רגיל מועלה פעם אחת לכל שולח או בנפרד לכל מכשיר של נמען?
- אילו אירועים מחליפים מפתחות, ומה קורה כשחבר אינו מקוון?
- כיצד מיוצגים מכשירים שנוספו וחברים שהוסרו?
- האם קבצים מצורפים ומפתחות הפענוח שלהם מוגנים לפי אותם כללי חברות?
- אילו נתוני מטא נשארים גלויים לשרת הממסר?
- האם אפשר לשחזר את תוצאות הביצועים בטלפונים וברשת המיועדים?
מודל האיומים של Livara מבדיל בין קבוצות פרטיות לערוצים ציבוריים ומתעד מידע ניתוב גלוי. אין לאחד פרסום ציבורי והפצת מפתחות של קבוצה פרטית לטענה אחת על ״ערוצים מוצפנים״.
מפתחות שולח יכולים לחסוך עבודה חוזרת. השאלה ההנדסית המועילה היא לאן העבודה עוברת, אילו אירועים מחייבים לחזור עליה ועד כמה שינוי הרכב הקבוצה מאובטח.
