摘要

  • RFC 9420 规定，经认证的 MLS 客户端可借助 Proposal 与 Commit 进入新的共享加密 epoch。
  • 这一状态转换并不证明人已知悉、群体已达成共识、组织已授权、应用已取得足够确认，或外部行动已经发生。

“群组已经同意”是技术管理中最容易被压缩过度的一句话。它有时指一条消息被发出，有时指一个终端接收了更新，有时指应用程序通过了某项规则，也有时指负责人作出授权，或现实世界中的操作已经执行。它们不是同一件事，因此也不应由同一枚绿色状态标记来证明。

RFC 9420 所定义的 Messaging Layer Security（MLS）解决的是一个较窄却重要的问题：让一组客户端持续建立并更新经认证的共享密钥状态。标准所说的 group 是共享共同秘密值的一组逻辑客户端；其历史是一条线性的 epoch 序列。在每一个 epoch 中，特定的一组经认证客户端持有共享加密状态。

这里的“客户端”不能被悄悄替换成“人”或“机构”。RFC 9420 按客户端所持有的加密密钥来定义它。它没有说一个客户端就是一位自然人，没有说某人只控制一个客户端，也没有说持有该密钥的一端可以代表雇主、董事会或项目负责人。认证服务在其自身的凭证规则下可以建立某种密钥与身份的绑定；它并不会因此证明有人已读过提案，或拥有让组织承担后果的权限。

MLS 的状态推进则有明确的技术含义。Proposal 提出群组变更，例如添加、更新或移除成员。Commit 实现一组 Proposal 所提出的变更。当客户端创建或处理 Commit 时，棘轮树和 GroupContext 从旧状态转到新状态，开启下一 epoch。GroupContext 包括群组标识符、新 epoch 编号、树哈希和已确认 transcript 哈希等值。若有新客户端加入，创建 Commit 的一方会同时生成相应的 Welcome，使其能够建立对结果状态的副本。

这条链支持的是一个有限而有力的判断：某个客户端按照 MLS 的校验规则处理了一次特定状态转换。transcript 与确认机制把定义好的协议材料跨 epoch 关联起来；密钥演进在 RFC 所述条件下保护群组秘密并限制被移除成员未来的访问能力。Commit 不是一段供人随意解读的文字，它是实在的协议事件。

但 Commit 的技术含义并不等于“承诺”一词在组织语境中的含义。它不是会议纪要、投票结果、合同签署、预算批准或变更已落地的证明。Welcome 也不是人事意义上的入职通知；它是让新增客户端加入 MLS 状态的消息结构。epoch 不是某个组织进入新的治理阶段；它只是该协议群组的一套新共享加密上下文。

RFC 9420 对交付路径的描述让这条边界尤其重要。MLS 假设存在一个可信的 Authentication Service 来验证凭证，以及一个负责路由消息、但大体不被信任的 Delivery Service。交付服务即便被攻破，也不能伪造有效的 MLS 消息；然而，它仍能选择性延迟或删除消息，永久阻断某成员的进出消息，并且当应用让它处理并发 Commit 的冲突时，对最终采用哪一个 Commit 施加影响。

因此，一个有效 Commit 不能自动成为“信息已完整送达”的收据。它可以证明某次状态转换已被处理，却不能证明所有需要知情的客户端在需要的时间内都收到了相关材料。除了发送方数据的 generation 值之外，RFC 将丢失检测留给应用层。真正需要保存送达范围、时限或缺失证据的系统，必须在交付层和应用层保留这些事实，不能把没有发现伪造等同于已经完成传播。

标准对确认机制的态度更加直接。它描述了一种异步情况：能够识别畸形 Commit 的成员可能处于离线状态，结果状态随后仍可能成为其他 Commit 的基础；这些成员返回后则可能无法追上群组。应用可以要求在把 Commit 视为已接受前，取得成功处理的确认。MLS 本身并不提供这种内置确认机制。

这意味着至少四种事件必须分开记录：Commit 存在；应用认为 Commit 已接受；应用规则要求的确认已经收齐；拥有相应权力的机构作出了决定。协议只在其范围内处理第一种事实。应用拥有第二和第三种事实的规则。对资源、义务或外部效果具有约束力的第四种决定，则仍属于作出决定的本地机构。

一个可靠的控制记录应当保存层次而不是消除层次：MLS 的群组标识和 epoch、Commit 与相关 Proposal、凭证绑定上下文、交付观察、确认的规则/阈值/时限、本地决策以及实际执行的行动。这样，日后的审查才能分别回答：协议状态是否推进？哪些端点处理了它？应用是否按自身规则接受？某项有权决定是否作出，实际效果是否发生？

卢恒关于表征、本地决策和运行结果的区分，在此可作为严格的分析方法，而非对 MLS 的外部事实主张。MLS epoch 可以准确、可验证且有用；正因如此，更不应让它借用本来属于人、应用或机构的权威。

Sources