Кратко

  • Рабочая группа MLS 2 ноября выпустила редакцию -02 проекта, в котором несколько клиентов-эмуляторов выступают одним листом в вышестоящей группе. Это пока Internet-Draft.
  • Каждый эмулятор хранит полный секретный статус виртуального клиента. Взлом одного раскрывает текущие секреты и дает право выдавать себя за общую личность во всех вышестоящих группах.
  • Для удаления нужны стирание неиспользованных KeyPackage, новые учетные данные и обновление ключей каждой группы. Новый раздел ограничивает фактическую криптографическую стойкость более слабым набором алгоритмов.

Общая маска, общая уязвимость

В шифрованной группе виден один участник, хотя за ним работают несколько устройств. Виртуальный клиент MLS занимает один лист дерева. Остальным участникам сложнее определить, с какого устройства пришло сообщение; дерево становится меньше, а некоторые операции дешевле. Обновленный 2 ноября проект рабочей группы IETF описывает именно такую схему.

Один лист, однако, означает общие секреты. Каждый клиент-эмулятор знает полное секретное состояние виртуального клиента. Раздел о безопасности говорит прямо: компрометация одного устройства раскрывает секреты текущей эпохи внутренней группы и всех вышестоящих групп, куда вошла общая личность. Нападающий может выдавать себя за нее. Снаружи участник один, но приложение доверило его полномочия нескольким аппаратам.

Потерявшее доверие устройство не исчезает от простого удаления из списка. Служба доставки сначала должна удалить еще действующие KeyPackage. Затем команда Remove переводит внутреннюю группу в новую эпоху. Приложение выдает новые учетные данные и ключи аутентификации; оставшиеся эмуляторы обновляют ключи виртуального клиента в каждой вышестоящей группе и загружают новые пакеты. Долгоживущие удостоверения, доступные удаленному устройству, следует отозвать. Обычно для этой работы нужен другой эмулятор в сети. Если старый пакет сохранится, исключенный клиент может обработать последующее сообщение Welcome.

В редакции -02 появился отдельный предел криптографической силы. Материал для внешних групп происходит от секрета, созданного набором алгоритмов внутренней группы. Перенос в более сильный внешний набор меняет способ выработки ключа, но не добавляет исходной энтропии. Итоговая стойкость ограничена более слабой стороной. Авторы советуют выбирать внутренний набор не слабее каждого целевого.

Следы остаются и в метаданных: запись о выработке ключа выдает виртуальный лист, общий идентификатор эпохи помогает связать его между группами. Проект не сообщает числа работающих внедрений или известных инцидентов. Проверяемый вопрос уже поставлен: способно ли приложение лишить одно устройство прав во всех группах, где действует общая личность?

Первоисточники