摘要

  • MLS 工作组 11 月 2 日更新虚拟客户端草案：多台模拟客户端可在外层群组共用一片树叶。这是互联网草案，尚非 RFC。
  • 每台模拟客户端都持有虚拟客户端的完整秘密状态。一台失陷，就能取得内层和所有相关外层群组的当前秘密，并冒充这个共同身份。
  • 移除设备必须删掉待用 KeyPackage、推进内层群组轮次、换凭证，并更新每个外层群组。新版还明确：内外密码套件中较弱的一方决定有效强度。

隐身的设备并未失去发言权

群聊里出现一个人，背后可能是四台设备。MLS 虚拟客户端让它们在外层群组只占一个树叶；其他成员看见共同身份，看不出哪台设备发出了那条消息。树小了，群组操作也可能更轻。草案把这个便利写得清楚，也把代价写在了密钥管理一侧。

所有模拟客户端都掌握虚拟客户端的完整秘密状态。草案第 7.1 节说，攻破其中一台，等同攻破这个虚拟客户端：攻击者可取得内层群组以及该身份所加入的每个外层群组的当前秘密，还能冒充它。对外只显示一个席位，并没有在席位背后建立设备之间的隔离。

所以，移除一台设备不能只在成员表上画个叉。送达服务先要删除虚拟客户端尚未使用的 KeyPackage；内层群组通过 Remove 提案进入新轮次；应用提供新凭证和认证密钥；留下的设备还得逐个更新外层群组，并重新上传 KeyPackage。被移除设备碰过的长期凭证也应撤销。通常需要另一台设备在线执行更新，送达服务还必须支持删除旧包。旧包若漏删，被移除者仍可能处理日后的 Welcome 消息。

11 月 2 日的 -02 修订新增密码套件强度一节。外层密钥材料源于内层群组产生的秘密；把它导入更强的外层套件，只会改变派生环境，不会凭空增加熵。实际强度受较弱套件限制。草案要求应用选择至少与所有目标套件同样强的内层套件。

隐身也有边界。派生信息能暴露这是一片虚拟树叶；相同轮次标识可以把它在不同群组里的身影串起来。草案没有给出生产部署数或事故样本。它已经提出一项可检验的承诺：既然让多台设备共用身份，应用就要证明能把其中一台从全部相关群组真正赶出去。

原始资料