Groepsberichten met afzendersleutels kunnen voorkomen dat voor elk gewoon bericht een afzonderlijke kopie voor iedere ontvanger wordt versleuteld. Een afzender verspreidt sleutelmateriaal via veilige paarsgewijze kanalen en gebruikt vervolgens een afzenderketen voor groepsberichten. Dat kan het herhaalde uploadwerk van de afzender verminderen, maar het maakt de totale kosten van het afleveren van een bericht niet onafhankelijk van de groepsgrootte.
Maak onderscheid tussen het uploaden van gewone berichten, sleuteldistributie en aflevering door de server voordat u bandbreedteclaims vergelijkt.
Drie kostenposten achter één ‘groepsbericht’
Neem een vereenvoudigde groep met N leden. Dit is een verklarend model, geen gemeten Livara-benchmark:
| Handeling | Paarsgewijze berichtkopieën | Ontwerp met afzendersleutels |
|---|---|---|
| Afzender uploadt gewone inhoud | Kan afzonderlijke versleutelde kopieën voor ontvangers vereisen | Kan na de inrichting één groepscijfertekst uploaden |
| Sleutels tot stand brengen of distribueren | Paarsgewijze sessies moeten bestaan en worden onderhouden | Afzendermateriaal moet bevoegde ontvangers bereiken |
| Relay levert aan de groep | Ontvangers hebben hun kopieën nog steeds nodig | Ontvangers hebben hun kopieën nog steeds nodig |
| Veranderingen in lidmaatschap | Sessies en toegangsbeleid moeten worden bijgewerkt | Nieuw afzendermateriaal moet mogelijk opnieuw worden verspreid |
‘Afzenderupload van constante omvang’ beschrijft één onderdeel van dit model. Het betekent niet dat het totale netwerkverkeer constant is, dat wijzigingen in het lidmaatschap niets kosten of dat elk apparaat identieke prestaties levert.
De MLS-specificatie, RFC 9420, van de IETF bespreekt de efficiëntie van afzendersleutels en het extra werk dat nodig is om de beveiliging na compromittering te herstellen. MLS gebruikt een andere, boomgebaseerde aanpak. Het onderscheid betreft de architectuur; het is geen rangschikking die één ontwerp overal tot het beste maakt.
Waar postkwantum-sleuteluitwisseling extra overhead toevoegt
ML-KEM introduceert openbare sleutels en inkapselingsmateriaal die groter zijn dan gangbare representaties op basis van elliptische krommen. Maar een protocol hoeft niet voor elk bericht een nieuwe KEM-uitwisseling uit te voeren. Inrichting, periodieke sleutelvernieuwing en gewone symmetrische versleuteling kunnen verschillende kosten hebben. NIST FIPS 203 definieert de parametersets van ML-KEM, niet het volledige formaat dat een berichtenapp over het netwerk verstuurt.
Daarom voorspelt het vermenigvuldigen van de grootte van een KEM-cijfertekst met ‘100 gebruikers’ op zichzelf niet het verkeer per bericht van een chat met 100 leden. Het antwoord hangt ook af van sessiehergebruik, berichtframing, apparaten van ontvangers, hertransmissies en de vraag of bijlagen eenmaal worden geüpload of worden gekopieerd.
Een eerlijke vergelijking vermeldt het aantal groepen en apparaten, de grootte van berichten en bijlagen, de wisseling van leden, de clientbuild en de netwerkomstandigheden. Zonder die details kunnen precieze kilobyte- of batterijcijfers misleidend zijn.
Wat Livara over LGS1 zegt
Livara’s beveiligingspagina beschrijft LGS1 als een ontwerp met afzenderketens voor privégroepen. Het sleutelmateriaal van elke afzender wordt binnen paarsgewijze LVR1-sessies verspreid; groepsberichten gebruiken de resulterende keten, en de documentatie beschrijft nieuwe afzendersleutels wanneer leden toetreden of vertrekken.
Dit is de door de aanbieder gedocumenteerde architectuur, geen onafhankelijk geverifieerd prestatieresultaat. Ze ondersteunt een uitleg van de beoogde scheiding tussen sleuteldistributie en gewone berichten. Ze onderbouwt niet de bewering dat elke groepsupload precies 1,1 KB groot is, dat het hele systeem afleveringskosten van O(1) heeft of dat het batterijverbruik als verwaarloosbaar is gemeten.
Sleutelvernieuwing hoort bij het beveiligingsbudget
Een lid uit een interface verwijderen is onvoldoende als dat lid nog sleutels bezit waarmee toekomstig verkeer kan worden ontsleuteld. Een veilige overgang moet verwijderde apparaten uitsluiten van de nieuwe sleuteldistributie en ervoor zorgen dat de resterende clients naar de juiste toestand overgaan. Eerder ontvangen berichten en gekopieerde bestanden kunnen niet cryptografisch worden teruggeroepen.
Voorwaartse geheimhouding en herstel na compromittering bij afzendersleutels hangen ook af van hoe sleutelketens voortschrijden, welke geheimen worden gewist en wanneer nieuw materiaal wordt ingevoerd. Ze mogen niet uitsluitend worden afgeleid uit het gebruik van een postkwantum-KEM tijdens de inrichting.
Vragen voor een praktische beoordeling van groepschats
- Wordt gewone tekst eenmaal per afzender geüpload of afzonderlijk per apparaat van een ontvanger?
- Welke gebeurtenissen roteren de sleutels, en wat gebeurt er terwijl een lid offline is?
- Hoe worden toegevoegde apparaten en verwijderde leden weergegeven?
- Worden bijlagen en hun ontsleutelingssleutels door dezelfde lidmaatschapsregels beschermd?
- Welke metadata blijven zichtbaar voor de relay?
- Zijn prestatieresultaten reproduceerbaar op de beoogde telefoons en het beoogde netwerk?
Livara’s dreigingsmodel onderscheidt privégroepen van openbare kanalen en documenteert zichtbare routeringsinformatie. Openbaar publiceren en de sleuteldistributie voor privégroepen horen niet te worden samengevoegd in één claim over ‘versleutelde kanalen’.
Afzendersleutels kunnen herhaald werk besparen. De nuttige technische vraag is waar dat werk naartoe verschuift, welke gebeurtenissen het opnieuw nodig maken en hoe veilig de groep van samenstelling verandert.
