Résumé

  • La révision -02 du projet du groupe MLS permet à plusieurs clients émulateurs d'occuper une seule feuille dans un groupe supérieur. Le texte reste un Internet-Draft.
  • Chaque appareil détient l'intégralité des secrets du client virtuel. La compromission d'un seul ouvre les secrets actuels et l'usurpation de cette identité dans tous les groupes où elle figure.
  • Révoquer l'appareil exige la suppression des KeyPackages en attente, de nouveaux identifiants et une mise à jour des clés de chaque groupe supérieur. Une nouvelle section borne aussi la sécurité par la suite cryptographique la plus faible.

Une économie de feuilles, une dette de confiance

Une conversation chiffrée peut afficher un membre alors que plusieurs appareils parlent en son nom. Pour les autres participants, une seule feuille apparaît dans l'arbre MLS. Leur groupe devient plus petit et ne révèle pas quel appareil a envoyé le message. La version du 2 novembre de « MLS Virtual Clients » décrit cet avantage, ainsi que le travail supplémentaire qui l'accompagne.

Les clients émulateurs partagent l'état secret complet du client virtuel. Le projet est net : perdre un appareil revient à exposer les secrets de l'époque courante du groupe d'émulation et de tous les groupes supérieurs rejoints par cette identité. L'attaquant peut parler à sa place. L'écran des autres membres montre un siège ; l'application a distribué la clé de ce siège à plusieurs détenteurs.

La sortie d'un appareil ne se résume donc pas à une ligne supprimée. Le service de distribution doit d'abord effacer les KeyPackages encore disponibles. Une opération Remove fait avancer le groupe d'émulation. L'application fournit de nouvelles informations d'authentification, puis les appareils restants renouvellent les clés du client virtuel dans chaque groupe supérieur et publient de nouveaux KeyPackages. Les identifiants durables connus de l'appareil retiré devraient être révoqués. Il faut généralement un autre appareil en ligne pour faire le travail.

Un ancien paquet laissé au service peut encore permettre à l'appareil exclu de traiter un futur message Welcome.

La révision ajoute une limite cryptographique explicite. Les clés destinées à un groupe supérieur dérivent d'un secret créé par la suite du groupe d'émulation. Les importer dans une suite plus forte ne crée pas d'entropie supplémentaire : la force effective reste celle de la plus faible des deux. Le projet recommande une suite d'émulation au moins aussi forte que chacune des suites cibles.

La discrétion promise a aussi des coutures. Un marqueur de dérivation peut révéler la feuille virtuelle ; un identifiant d'époque commun peut la relier entre plusieurs groupes. Le document ne fournit ni nombre de déploiements ni incident observé. Il met en revanche une obligation technique sur la table : qui cache plusieurs appareils sous une identité doit pouvoir retirer l'un d'eux partout où cette identité agit.

Sources originales