密码学基础组件
缺少加密身份时，受保护的发送会被阻止。新群组只有在所有成员准备就绪后才会创建为加密群组；不兼容的旧群组仍会明确标为不在端到端加密范围内，而不会借用更强的保护标签。中继服务器仍能获知信封信息：谁、何时、大小，以及是否送达。
01 · 边界
服务器能读取吗？
此表说明消息投递过程。独立的人工智能处理由隐私政策及所用客户端的控制选项说明。
说明 系统会存储路由、成员、时间戳、投递状态和密文，以便设备同步。
说明 这些存储让重连恢复成为可能。这是一种取舍，而这就是你付出的部分。
| 内容类型 | 一对一私聊 | 兼容的私密群组 | 频道 |
|---|---|---|---|
| 消息文字 | 在你的设备上加密 | 端到端加密（LGS1） | 公开广播频道 |
| 文字编辑 | 在你的设备上加密 | 端到端加密（LGS1） | 公开广播频道 |
| 照片、视频、文件、说明文字 | 上传前加密 | 上传前加密 | 公开广播频道 |
| 你与谁交谈 | 仅路由元数据 | 仅路由元数据 | 公开广播频道 |
| 你何时交谈 | 仅投递时间戳 | 仅投递时间戳 | 公开广播频道 |
| 你的密码 | 从不离开你的设备 | 从不离开你的设备 | 从不离开你的设备 |
| 你的私钥 | 从不以未加密形式上传 | 从不以未加密形式上传 | 从不以未加密形式上传 |
02 · 私聊
一条消息如何获得密钥。
LVR1 同时从经典和后量子材料开始，并持续推进两套棘轮。普通消息推进低开销的单向链；定期的 ML-KEM 纪元更新会刷新抗量子根密钥，无需每次发送都携带三千字节的握手数据。
详细介绍 LVR1
以下基础组件与参数说明设计方式。使用成熟组件，并不等于独立验证了完整协议的安全性。
- 经典根密钥
- P-256 ECDH、已签名预密钥
- 后量子根密钥
- ML-KEM-768，定期重新生成纪元密钥
- 建立过程
- 混合 X3DH 风格，可用时使用一次性密钥
- 棘轮推进
- 独立的发送链与接收链
- 内容加密算法
- 使用 AES-256-GCM 保护内容与头部
- 密钥保管
- 在设备上生成；恢复备份在上传前加密
- 附件
- 每个文件使用随机密钥，通过会话内部传递
身份
在设备上生成 P-256 私钥与 ML-KEM-768 种子，从不以明文上传。
认证预密钥
客户端检查已签名的 P-256 和 ML-KEM-768 预密钥；一次性密钥可用时，会增加新鲜性。
建立
混合 X3DH 将多次 P-256 协商与 ML-KEM 秘密值混合，形成独立的经典根密钥和后量子根密钥。
棘轮推进
单向发送链和接收链在每条消息后推进；定期的 ML-KEM 纪元更新刷新后量子根密钥。
加密封存
消息密钥与当前 PQ 根密钥结合，再由 AES-256-GCM 对内容与头部进行加密和认证。
创建
每位成员在自己的设备上，为其群组消息生成发送链和签名密钥。
分发
发送者密钥通过逐对的后量子 LVR1 会话传递给其他成员。
推进
每条消息从链中派生一次性 AES-256-GCM 密钥，并附带发送者的签名。
轮换
成员加入或离开时，生成并分发新的发送者密钥。
03 · 0.2 中的私密群组
一份密文，传给每位成员。
为大型群组的每位成员分别加密相同文字，开销会随人数增长。LGS1 改为给每位发送者一条签名链：链密钥通过逐对 LVR1 会话传递，再用一份不透明密文发送给整个群组——独立的附件密钥、说明文字和文件名均加密封存在其中。
详细介绍 LGS1
- 发送者链
- 每位发送者一条签名链，每个位置一条消息
- 密钥分发
- 发送者密钥通过逐对 LVR1 会话传递
- 每条消息的密钥
- 按位置派生的一次性 AES-256-GCM 密钥
- 认证
- 每位发送者一个 P-256 签名身份
- 成员变化
- 旧发送者密钥不再用于新消息；成员轮换密钥
- 保护范围
- 文字 · 编辑 · 说明文字 · 文件名 · 附件密钥
04 · 不那么舒服的部分
加密保护内容，却不隐藏关系网络。
Livara 存储并处理用于投递和同步的运行元数据。此表说明受保护的消息投递，不涵盖独立的人工智能处理。让人工智能使用聊天内容前，请查看所用客户端的控制选项和隐私政策。
| 服务器能看到 | 服务器会存储 | 受保护消息投递中无法读取 |
|---|---|---|
| 谁与谁通信 | 以密文形式保存的消息记录 | 消息明文 |
| 群组成员与对话 | LVR1 和 LGS1 密文 | 解密后的媒体内容 |
| 时间戳与密文大小 | 回执、回应、编辑 | 说明文字与文件名 |
| 投递状态与路由 | 每个账户的同步游标 | 附件密钥 |
| 你连接到 Livara 这一事实 | 推送令牌与安全记录 | 你的密码 — 仅提供 SRP 证明 |
LSS1 元数据保护代码已存在，但未接入普通消息发送。不要把它算作当前消息已启用的保护。
05 · 披露
Livara 不会声称的事。
列出这些内容，是为了让你不必从其他地方的缺漏中推断。如果某项从清单上移除，那是因为功能已经提供，而不是文案变得更好听。
目前不作承诺
六项内容，直接来自已公布的威胁模型。
- 元数据匿名性
- 频道的端到端加密——频道是公开广播流
- 启用可选服务器端录制时的端到端加密
- 保护已解锁或被攻破的设备
- 无需恢复短语即可恢复
- 向网络服务商隐藏你与 Livara 的连接
我们拒绝作出的宣称
先按营销页面想说的方式写出来，再划掉。
- 声称频道内容是私密的。频道在设计上就是公开广播流。
- 声称服务器不存储实时投递和同步所需的路由元数据。
- 声称设备和恢复短语同时丢失后仍可恢复。
- 声称永远不必核查安全号码。比较安全号码，正是你亲自验证密钥的方式。
06 · 身份
登录，以及重新登录。
SRP 证明你知道密码，而无需传输密码
在 SRP 认证中，设备证明你知道密码，而不传输密码本身。服务器存储验证值。这无法保护已被攻破的设备或客户端。
密钥备份在上传前加密
P-256 协商密钥与签名密钥，以及 ML-KEM 种子，在你的设备上使用随机的 256 位恢复密钥加密。格式 v7 对算法套件、身份纪元和代次进行认证。它恢复的是身份，而非聊天历史。
指纹让你核查对方
通过另一个可信渠道，与对话对象比较公钥指纹。如果出现意外差异，请在分享敏感信息前核实变化。
服务器仍决定谁可以操作
成员和角色检查管理对话、上传、回执、编辑、删除及实时操作。这是服务器权限，而非密码学保护——正因如此，单独列出。
密码 从不离开设备
证明 在本地计算，与服务器交换
服务器 持有验证值，而非你的密码
结果 认证成功 — 秘密值从未在网络上传输
身份 一个用户名，而非 SIM 卡、运营商或国家。
SRP 认证与消息加密相互独立。仅凭密码无法解锁加密身份备份；恢复备份需要恢复短语。被攻破的设备或客户端仍不在这些保护范围内。
问题
最常被问到的五个问题。
哪些 Livara 对话采用端到端加密？
私信和兼容的私密群组对话在你的设备上端到端加密。私聊使用混合后量子 LVR1 棘轮；兼容的私密群组使用 LGS1 发送者密钥保护文字、编辑、照片、视频、文件和语音留言。不兼容的旧群组仍会明确标为不在端到端加密范围内。
在新手机上登录后，私聊密钥会恢复吗？
不会自动恢复。加密密钥备份只能用恢复短语所代表的恢复密钥解锁。仅有正确密码还不够——这是有意的设计：如果单凭密码就能恢复密钥，单凭密码也就能把密钥交给别人。
Livara 会隐藏我与谁交谈吗？
不会。投递系统根据发送者、目的地和时间戳路由加密数据包，并存储路由元数据，以便设备同步。加密消息的移动推送通知不包含消息细节或姓名。
群组加密如何运作，涵盖什么内容？
每位成员创建发送链，并通过逐对加密的 LVR1 会话与其他成员分享链密钥。群组文字、编辑、媒体、文件和语音留言在离开发送者设备前就已在设备上加密。成员加入或离开时，会轮换密钥。
一对一和群组通话如何受到保护？
一对一和群组通话对音频、视频和屏幕共享使用端到端加密。可选的服务器端录制是独立模式：可见的 REC 状态开启期间，通话使用传输加密而非端到端加密。