발신자 키를 사용하는 그룹 메시징은 일반 메시지마다 수신자별로 별도의 사본을 암호화하는 일을 피할 수 있습니다. 발신자는 안전한 일대일 채널로 키 자료를 배포한 다음 그룹 메시지에 발신자 체인을 사용합니다. 이렇게 하면 발신자의 반복적인 업로드 작업을 줄일 수 있지만, 메시지 전달의 총비용이 그룹 규모와 무관해지는 것은 아닙니다.
대역폭에 관한 주장을 비교하기 전에 일반 메시지 업로드, 키 배포, 서버 전달을 구분해야 합니다.
하나의 “그룹 메시지”에 숨겨진 세 가지 비용
구성원이 N명인 단순화된 그룹을 생각해 보겠습니다. 이는 설명을 위한 모델이며, Livara를 실측한 벤치마크가 아닙니다.
| 작업 | 일대일 메시지 사본 방식 | 발신자 키 방식 |
|---|---|---|
| 발신자가 일반 콘텐츠를 업로드 | 수신자별로 따로 암호화한 사본이 필요할 수 있음 | 초기 설정 후 하나의 그룹 암호문을 업로드할 수 있음 |
| 키 설정 또는 배포 | 일대일 세션이 존재하고 유지되어야 함 | 발신자 키 자료가 권한 있는 수신자에게 도달해야 함 |
| 중계 서버가 그룹에 전달 | 수신자는 여전히 각자의 사본을 받아야 함 | 수신자는 여전히 각자의 사본을 받아야 함 |
| 구성원 변경 | 세션과 접근 정책을 갱신해야 함 | 새로운 발신자 키 자료를 재배포해야 할 수 있음 |
“고정 크기의 발신자 업로드”는 이 모델의 한 부분을 설명합니다. 전체 네트워크 트래픽이 일정하거나, 구성원 변경 비용이 없거나, 모든 기기의 성능이 같다는 뜻은 아닙니다.
IETF의 MLS 규격 RFC 9420은 발신자 키의 효율성과 침해 후 보안을 회복하기 위해 필요한 추가 작업을 다룹니다. MLS는 다른 트리 기반 접근법을 사용합니다. 이는 아키텍처의 차이이지, 어느 한 설계가 언제나 가장 좋다고 정하는 순위가 아닙니다.
양자내성 키 설정이 오버헤드를 늘리는 부분
ML-KEM은 일반적인 타원곡선 표현보다 크기가 큰 공개 키와 캡슐화 자료를 추가합니다. 그러나 프로토콜이 메시지마다 새로운 KEM 교환을 수행할 필요는 없습니다. 초기 설정, 주기적인 키 갱신, 일반적인 대칭 암호화는 서로 다른 비용을 가질 수 있습니다. NIST FIPS 203은 ML-KEM의 매개변수 집합을 정의하며, 메신저의 완전한 전송 형식을 정의하지는 않습니다.
따라서 KEM 암호문의 크기에 “사용자 100명”을 곱하는 것만으로는 100명 채팅방의 메시지당 트래픽을 예측할 수 없습니다. 답은 세션 재사용, 메시지 프레이밍, 수신 기기, 재전송, 첨부 파일을 한 번만 업로드하는지 복사하는지에도 달려 있습니다.
공정한 비교는 그룹 수와 기기 수, 메시지와 첨부 파일의 크기, 구성원 변동, 클라이언트 빌드, 네트워크 조건을 명시합니다. 이런 세부 정보가 없으면 정확해 보이는 킬로바이트 수치나 배터리 수치도 오해를 부를 수 있습니다.
Livara가 LGS1에 대해 설명하는 내용
Livara의 보안 페이지는 LGS1을 비공개 그룹용 발신자 체인 설계로 설명합니다. 각 발신자의 키 자료는 일대일 LVR1 세션 안에서 배포됩니다. 그룹 메시지는 그 결과로 만들어진 체인을 사용하며, 문서는 구성원이 들어오거나 나갈 때 새로운 발신자 키를 사용한다고 설명합니다.
이는 제공업체가 문서화한 아키텍처이지 독립적으로 검증된 성능 결과가 아닙니다. 키 배포와 일반 메시지를 분리하려는 의도를 설명하는 근거는 됩니다. 그러나 모든 그룹 업로드가 정확히 1.1 KB이거나, 전체 시스템의 전달 비용이 O(1)이거나, 배터리 사용량이 무시할 수준으로 측정되었다는 주장을 뒷받침하지는 않습니다.
키 갱신은 보안 비용의 일부입니다
제거된 구성원이 앞으로의 트래픽을 복호화할 수 있는 키를 여전히 갖고 있다면, 인터페이스에서 그 구성원을 제거하는 것만으로는 충분하지 않습니다. 안전한 전환은 제거된 기기를 새 키 배포에서 제외하고 나머지 클라이언트가 올바른 상태로 이동하도록 보장해야 합니다. 이미 받은 메시지와 복사된 파일은 암호학적으로 회수할 수 없습니다.
발신자 키의 순방향 비밀성과 침해 후 복구는 키 체인이 어떻게 진행되는지, 어떤 비밀이 삭제되는지, 새로운 자료가 언제 도입되는지에도 달려 있습니다. 초기 설정에서 양자내성 KEM을 사용한다는 사실만으로 이러한 속성을 추론해서는 안 됩니다.
실제 그룹 채팅 평가를 위한 질문
- 일반 텍스트는 발신자당 한 번 업로드되나요, 아니면 수신 기기마다 별도로 업로드되나요?
- 어떤 사건이 키 교체를 유발하며 구성원이 오프라인일 때는 어떻게 되나요?
- 추가된 기기와 제거된 구성원은 어떻게 표현되나요?
- 첨부 파일과 해당 복호화 키에도 같은 구성원 규칙이 적용되나요?
- 어떤 메타데이터가 중계 서버에 계속 보이나요?
- 대상 휴대전화와 네트워크에서 성능 결과를 재현할 수 있나요?
Livara의 위협 모델은 비공개 그룹과 공개 채널을 구분하고 노출되는 라우팅 정보를 설명합니다. 공개 게시와 비공개 그룹의 키 배포를 하나의 “암호화 채널” 주장으로 묶어서는 안 됩니다.
발신자 키는 반복 작업을 줄일 수 있습니다. 유용한 공학적 질문은 그 작업이 어디로 옮겨 가는지, 어떤 사건 때문에 다시 발생하는지, 그리고 그룹이 구성원을 얼마나 안전하게 변경하는지입니다.
