Nymchat libellus technicus albus

Consensus clavium postquantum in Nymchat

Claves publicas ML-KEM-768 per Nostr sine indicio aut registro distribuere, et ex secreto quod nullus valor publicus exponit eas seminare.

Permutatio clavis post-quantumum nuntiatio addere non est maxime quaestio cryptographica. Elementa normis definiti sunt et bibliothecae exsunt. Difficilis autem pars est quod omnis participator nunc opus habet secundus clavis publica, et rete non centralizatum nullum locum manifestum habet ubi eam ponat. Haec scriptio describit quomodo Nymchat hoc respondat — unde clavis secunda veniat, quomodo ad eos perveniat qui eam requirunt, et quid interfacies de exitu dicere permissa sit — et, in sectione ultima, quid illud exitus non tueat.

Haec pagina machinae ad commodum translata est. Originale Anglicum est versio quae applicatur.

1Problema

Nuntii privati Nostr cryptantur... NIP-44, quod duas partes separabiles habet. Pars quae textum planum confundit — ChaCha20 cum signo HMAC-SHA256, per... HKDF (RFC 5869) — non per computatrum quantum significanter minaturitur; algorithmus Groverii velocitatem radice quadrata contra claven symmetricam praebet, et bicentis viginti sex bita hoc absorbet. Dimidium quod assentit in clave est Diffie-Hellman curva elliptica super secp256k1, et algorithmus Shori logarithmum discretum plane solvit. Recuperatio unius clavis privatae ex eius duplici publica post facto omnia secreta communia quae illa clavis antea genetavit revelat.

Periculum quod hoc efficit non usque ad tempora talis machinae existentis dilata est. Adversarius qui habet ad res conservandas potest textum cryptographum hodie registrare et eum decipherare cumque facultas advenerit. Quicquid nunc missum quod tunc etiam momenti erit iam perdetum est. Hic est incursus quem permutatio clavium post-quantum vincit, et haec est causa cur opus machinam aedificatam exspectare non possit.

1.1 Quaestio quam hoc scriptum respondet

Mitigatio bene intellegitur: modum encapsulationis clavis post-quantumae cum commutatione classicae agere, ut impugnator utrumque frangere debeat ut aliquid legat. Nymchat ML-KEM-768 utitur (FIPS 203). Id statim problema distributionis suscitat:

Npub in se contentum est. In charta scribere, voce clara legere, vel ex schermo scannere potes, et id est totum quod quisque ad tibi cifrandum egere debet. Clavis publica ML-KEM-768 mille centum octoginta quattuor bytes est. Voce clara legi non potest, in nomine utentis non locabitur, et in codice QR iuxta identitatem quae tantum triginta duo bytes habet non convenit.

Magnitudo est pars facilissima. Difficilior autem est pars, quod clavis secunda tria distincta problema parit, et reliquus hic scriptus magnopere ad ea respondet:

• Substitui potest. Clavis, quam nemo subito legere potest, est res quae aggressor pro sua mutat. Pars IV eam ad identitatem subscriptione nectit, quae hoc plane confirmat.
• Inter instrumenta usoris concordare debet. Eadem ratio in telephono et in computatro gestabili eundem clavum exhibere debet, aliter nuntii ad unum sigillati in altero aperiri non possunt. Secunda sectio 3.2 hoc explicat.
• Amari potest. Clavis publica ex secreto iterum divulgatur, ergo id quod re vera perdurare debet est ipsum secretum — et ex structura nihil aliud id recreat. Secutio X.I plane declarat quid id constet, quia hoc non tam solvendum est quam emendum.

2Limites designationis

Quattuor condiciones responsum formaverunt, et plures ex consiliis manifestis excludunt antequam ullus codex scribatur.

1. Minima arcana quam possit. Usores Nostr iam unum tantum secretum gerunt, id est nsec. Omnis secretum additum est alia via ad historiam amittendam, et qui nsec conservare scit, aliud nihil conservare sciet. Caput 3.1 ostendit hoc statim adimpleri non posse — clavis post-quantica ex nsec derivata nullam protectionem post-quanticam praebet — itaque ratio unum tantum secretum consumit et nihil amplius: unam tantum partem materiae clavium, semel pro omni identitate generatam, eodem modo sicut nsec et in eodem loco praesentatam, ut quisque qui unum servare scit, alterum quoque servare sciat. Caput 10.1 verum dicit de eo quod hoc etiam constat.
2. Nulla auctoritas. Nullus est servus cui fidi possit ut dicat cuius sit clavis cuiusque. Quisque talis servus fit locus ubi nuntii deviari possint.
3. Multa instrumenta, una identitas. Identitas Nostr saepissime ex multis clientibus simul adhibetur. Quicquid materia clavis existit, eadem in omnibus eis esse oportet, et viae quae id illuc ferunt ipsae a hosti, contra quem haec res defendit, legi non debent.
4. Nulla negotiatio. Omnis permutatio intra negotium de "quibus cifris uti possis?" est superficie quam impugnator tollere potest ut optionem debiliorem coactet. Ratio nihil debet habere quod deminuetur.

3Secretum radicale independentum

Consilium fundamentale est clavis ML-KEM decapsulationis ex materia clavium seminata esse, quam nullus valor publicus exponit. Omnis identitas unum secretum radicis habet, semel genitum:

pqRoot   = 32 bytes from a CSPRNG, generated ONCE per identity

seed     = HKDF-Expand(
               HKDF-Extract(salt = "nym-pq-root-v2", IKM = pqRoot),
               info = "mlkem768/epoch/" || epoch,
               64 bytes)

(ek, dk) = ML-KEM-768.KeyGen(seed)

Radix usuario praesentatur sicut nsec: bech32 cum praefixo homini legibili nympq, sic legitur nympq1…, ostensum iuxta nsec in tabula identitatis per eundem modum revelandi, eodem modo copiabile, nunquam in tabulis annotatum et nunquam in forma aperta aliquando missum. Non est verbum secretum et non est accessus. Materia clavis est quam usor servare potest, plane sicut nsec.

Sal ex proposito per dominios separatum est, ut nulla alia res secreta eundem par claves derivare possit. epoch Computator rotationem movet (Sectio 9).

3.1 Cur clavis ex clave identitatis derivari non potest

Consilium manifestum est par clavium ex secreto quem usor iam habet generare:

seed = HKDF(salt = "…", IKM = nsec)          // do not do this

Quattuor rationibus attrahens est, omnes veras: nihil novum sustinendum, quia nsec iam ipse est sustentaculum; omnia instrumenta ratione constructa convenientes, sine ratione synchronizationis quae falleret; una nuntiatio per identitatem mutabilis manifeste recta esse, quia instrumenta de clave dissidere non possunt; et clave antequam edatur iam existens, ut clientis aliquid sibi primum obsignare possit.

Omnes quattuor utilitates nulla sunt, propter unam rationem. Algorithmus Shor, contra npub publicatum applicatus, nsec praebet. Derivatio seminis est algorithmus publicus super nsec. Itaque adversarius qui dimidium classicum frangit, dimidium post-quantumum reconstruit per idem HKDF quod ceteri omnes agunt. Contra "metere nunc et postea decipherare" — periculum unicum propter quod hic modus ad prohibendum exsistit — clavis sic derivata nihil omnino addit.

Clausula secunda illius regulae tantum opus agit quam prima. Arcanum independente generatum, quod deinde inter instrumenta usoris intra nuntium NIP-44 ordinarium concordatur, est eadem defectio cum gradibus additis: adversarius illud nuntium hodie registrat et clavis eius classica postea recuperatur, et radix cadit. Ideo viae in sectione sequentia sunt viae quas sunt, et cur nulla eorum sit "mitt id ad alterum instrumentum tuum".

3.2 Radicem ad alia instrumenta usoris perducere

Condicio tertia Sectionis secundae — una identitas, multa instrumenta — hic ratione arithmetica non perfici potest, quia res ipsa est ut clavis non sit functio rei ullius quae instrumenta iam communicant. Etense per transportationem perfici debet, et una tantum via est: usor movet... nympq1… Se ipsos codificant.

Radix monstratur ut nympq1… Praeter nsec, et secundum instrumentum id in eandem tabulam infixum accipit. Hoc est totum mechanismum. Instrumentum cui codex non datum est participare non potest, quod Sectio 4.2 describit.

Translatio manualis fundamentum voluntarium est potius quam primus gradus. Regula in Sectione 3.1 dicit radicem nunquam sub cryptographia tantum classica migrare debere, et omnis mechanismus qui hoc automaticum faceret — per relais synchronizandum, vel ad clavem identitatis involvendum — id ipsum violat. Gradus quem utens perficit est causa cur praesidium verum sit.

Forma spatium praebet pro via involuta: index series involutorum ferre potest, unumquodque globus AEAD sub clave quam utensor in alio instrumento restituere potest — exempli gratia, exitus PRF passkey. Nihil hodie unum praebet, et donec aliquid hoc faciat, ... nympq1… codex est via unica transitus. Sectio 10.1 declarat quid id constet.

Ipsa tabula in sua categoria configurationis habitat, nymchat-pq-root, et sicut aliae categoriae, synchronizatur. Etiam si nulla involucra portat, opus necessarium agit: praesentia eius est qua secundum instrumentum cognoscit hanc identitatem iam radicem habere, quod impedit ut alteram rivalem fabricet (Sectio 3.3).

3.3 Generatio et adoptio

Initio, identitatem durabilem tenens, cliens hoc ordine operatur:

1. Quaere existens nymchat-pq-root Acta
2. Tabula inventa, et hoc instrumentum eam explicare potest. — suscipe eam et nuntia hanc identitatem post-quantum capacem.
3. Tabula inventa, et hoc instrumentum eam explicare non potest. — ne novam radicem generes, neque ullum nuntium nullo modo edas. Monstra utenti hoc instrumentum iungere inserendo nympq1… Codex ex instrumento quod iam id habet.
4. Nullum recordum — radicem generā, tabulam pūblicā, nuntiā, et ostendē... nympq1… codicem usuari semel ut eum servare possint

Tertius gradus est gradus qui facile falli potest, et est ratio cur ordo scriptus sit, non unicuique exsecutioni relinqueretur. Dua instrumenta quae unumque radicem generare decernunt duas radices separatas sub una identitate efficiunt, et hoc est vitium quod hic ordo prevenire conatur.

4Annuntiatio facultatis

Pars publica parsi par clavis derivatae ut res adirens publicatur. NIP-01 eventus — genus 30078, annotatus nym-pq:

{
  "kind": 30078,
  "tags": [
    ["d", "nym-pq"],
    ["t", "nym-pq"],
    ["expiration", "<unix seconds>"]
  ],
  "content": {
    "v":     2,
    "alg":   "mlkem768",
    "nym":   1,
    "epoch": 0,
    "pk2":   "<base64url ML-KEM-768 encapsulation key>",
    "exp":   <unix seconds>,
    "devices": [ ... ]
  }
}

Adirectibilitas significat relātum unum eventum pro quolibet (genere, clave publicā, d-tag) servāre, ita ut repetita publicatio praecedentem nuntium eodem loco substituat. Quapropter omnis identitas unum tantum recordum praesens habet, quod facit ut "clavis Aliciae quaerere" sit una et certa investigatio, non series quae reconciliari debet.

Signatura est vinculum. Eventus a clave identitatis signatur, itaque affirmatio "haec clave ML-KEM ad hunc npub pertinet" tantum robur habet quam ipse npub. Substitutio clave encapsulationis alienae falsificationem signaturae secp256k1 postulat. Aggressor qui id facere potest, KEM non curare necesse habet.

Nuntii expirant. Septenarius NIP-40 Expiratio, omni viginti quattuor horis denuo promulgata, documentum verbum de cliente agens servat qui adhuc operatur, non de eo qui olim operabatur. Ipsa radix numquam perit; tantum de ea declaratio.

Nuntius lapsus idem modo legitur quasi illud qui numquam clavem gerebat: socii NIP-44 ordinarium mittunt, quem omnis ingressus legere potest, et cliens scambium post-quantumum in proxima coniunctione renovat, cum iterum nuntiaverit. Ergo silentium per septimanam longius servare tutelam nuntiorum inter hiatus missorum perdit — qui classice encrypti sunt et non quantum-resistentes — et nihil aliud constat. Traditio non turbatur, nihil iam receptum inde illegibile fit, et nihil agendum est cum redit.

Haec disparitas est causa expirationis, non casus eius. Sine ea, tabula diutius vivit quam clavim quam nominat: instrumentum expunctum, restitutum, vel radice mutatum, mandatum relinquit ad clavim quam nemo iam tenet condendam, et nuntii sub ea missi sine errore utrique parte perduntur. Septem dies illud spatium circumscribunt, et sinit intermediarios ipsos tabulam relinquere, quam in clientes notandi fiducia.

Campus clavis formam suam nominat. Ager est pk2, et numerus est pars pactionis, non ornamentum: formam datorum nominat cui clavis adhiberi potest. Lector qui hoc campus non agnoscit concludit “clientem Nymchat, nullam clavim post-quantum” et NIP-44 ordinarium mittit, quem omnis ingressus legere potest. Id est rectum iter defectus, et dignum est norma declarare quam numeratio formarum ad imponendam exsistit: postulatio facultatis non agnita tutionem amittere debet, numquam transmissionem. Clavis quam socius non possit uti est peior quam nulla clavis quidem, quia nuntius quem efficit perditur sine errore in utraque parte.

4.1 Absentia est significativa, et trivalens.

Res subtilis sed gravis: nuntius ab omni cliente Nymchat editur, non solum clientibus post-quantum capacibus, et locus clavis facultativus est. Hoc tria statūs distinguendos efficit, non duo:

Tertiam seriem in quartam confluere verum damnum esset. Nuntius sine clave est declaratio subscripta quae affirmat mittentem Nymchat agere, quae iter mitterendi sinit effugere obvolutum speculativum inter protocola, quod aliter pro quolibet quem non agnoscere potest includere oportet.

4.2 Instrumentum quod radicem aperire non potest tacet.

Nuntius substitui potest: unus eventus pro singula identitate, ultimum scriptum vincit. Id est quod rationem singulae notae efficit, et hoc etiam instrumentum non coniunctum periculosum facit si nuntium mittit. Instrumentum quod clavum sibi ipse fabricatum nuntiaret rationem veram obrueret et omnes socios ad sigillandum sub clave quam alia instrumenta aperire non possunt impelleret.

Igitur apparatus, qui radicem existere scit sed eam aperire non potest, nihil nuntii edidit. Non est corruptus neque ex applicatione exclusus: omnia nuntia ad quae claves habet etiam lecta pergit et etiam secundum modum pristinum mittit, dum utentem admonet ut eo coniungat. Silentium est comportamentum aptum pro apparatu qui pro identitate loqui non potest.

5Inventio et decretum mitendi

Clientes claves sociorum duobus modis cognoscunt. Subscriptio perpetua comprehendit eos quibus utor colloquitur — colloquia aperta et socios gregis — ut nuntii eorum sicut eventus ordinarii veniant. Pro socio qui primum convenitur, quaestio unica tempore mittendi peragitur, limite duo et dimidia secunda circumscripta; si non solvitur, nuntius modo classico procedit, quod est ratio quae antequam post-quantum additum exstabat, non modus novi casus.

Eventus negativus non in aeternum sed per decem minuta conservatur. Usator, qui novum instrumentum coniungit vel qui a login per extensionem browseris ad clavem localem transilit, inter colloquium post-quantum capacior fit, et negatio in perpetuum conservata eos in cryptographia classica dum nuntius viget servaret.

5.1 Cur nulla est oppugnatio deminutionis

Decisio itineris ad unam tantum quaestionem reducitur:

pq = (we hold a signed, unexpired ML-KEM key for this recipient)

Nulla est negotiatio facultatum, nec index algorithmorum sustentabilium, nec locus quem incursor deleat ut viam debiliorem coactet. Nuntium retinens. is negotiatio, et signata est. Modus defectionis nuntii deprivati vel retenti est ut nuntius ad formam classicam redeat — status quo ante hanc inventionem — non ut nuntius mixtus ad aliquid falsificabile deminuatur.

Contrarium etiam valet et magis interest: cliens hybridum mittit solum cum clavis habetur, et

6Constructio hybrida

Nymchat NIP-44 non substituit. Eam circumvelat. Textus cryptographicus NIP-44 incommutatus est stratum interius, et claves ML-KEM AEAD externum circum eum constituunt:

inner = nip44_encrypt(plaintext, conversation_key(sender, recipient))

info  = "nymchat-pq2" || sender_secp_pk || recip_secp_pk || kem_ct || recip_kem_pk
prk   = HKDF-Extract(salt = "nymchat-pq2-v1", IKM = kem_ss)
key   = HKDF-Expand(prk, info || "key",   32)
nonce = HKDF-Expand(prk, info || "nonce", 12)

outer = ChaCha20-Poly1305(key, nonce, plaintext = inner, aad = info)

payload = "pq2." || base64url(kem_ct) || "." || base64url(outer)

Ut nuntium legatur, utraque secreta adhuc recuperari debent: exterior stratum tantum textum NIP-44 praebet, et id aperire ECDH classicum requirit. Adversarius quanticus qui secp256k1 frangit clavem interiorem obtinet et ML-KEM tamen confrontat; ML-KEM fractio stratum exterius nudat et NIP-44 stare relinquit. Quisque datum locum suum meretur:

• kem_ss solum stratum externum securat. Nihil in hac derivatione exitum ECDH nudum tangit, quod est id quod Sectio 6.1 activat.
• kem_ct, recip_kem_pk Et utrae claves identitatis ut data coniuncta inclusae sunt, ita ut stratum externum ipsum transcriptum quod id genuit obligetur. Textus cryptographus in identitatem alterius mittentis iunctus non decipheretur, sed authenticationem negetur.

Encapsulatio in omni nuntio noviter peragitur. Clavis ML-KEM recipientis diu manet, sed quisque nuntius textum crypticum independentem fert et ergo independentem kem_ss. Id est quod derivare nonce potius quam eum aleatorie generare rationabile facit: ChaCha20-Poly1305 Frangitur denuo utendo par (clavis, nonce), et hic ipsa clavis pro omni nuntio nova est, unde nullum par repetiri potest.

6.1 Cur strata separatae manent

Alternativa est utraque secreta in unam clavem colloquii miscere et illam NIP-44 tradere:

ck = HKDF-Extract(salt = "…",
                  IKM  = ecdh_x || kem_ss || …)          // do not do this

Constructio illa ut cryptographia valida est. Unum vitium structurale habet: opus est ei ecdh_x, coordinata x nuda exitus ECDH, ut materia clavis — et extensio exploratoris (NIP-07) vel signator remotus (NIP-46) numquam illud valorem reddit. NIP-44 pro appellante perficit et textum cryptographicum reddit, quod est tota causa clavis in loco ubi applicatio non adire potest.

Secretorum ergo mixtio omnem ingressum excludit qui claves identitatis in signatore servat, hoc est usores cautissimos, et nulla in derivatione clavium industria id mutare potest. Stratificatio dependentiam removet: NIP-44 integra manet et a quovis qui claves identitatis tenet producitur, signatore inclusi, dum pars KEM ex codice recuperationis, quem client tenet directe, computatur. Ingressus signatorum sunt ordinarii participantes post-quantici in utraque parte.

Pretium est latitudo, et non parva est. Textus encryptus ML-KEM mille octoginta octo bytes est et in omni nuntio vehitur, in formam base64url conversus ad mille quadringentos quinquaginta unum characteres; AEAD exterior signum Poly1305 sedecim bytes addit et onus NIP-44 quod involvit tertiam partem amplificat. Nuntius quinquaginta characterum a centum septuaginta sex bytes ad mille septingentos duodecim crescit, et unus bini milia characterum a duo milia octingenti viginti ad quinque milia ducenti triginta octo. Minimum est fere unum et medium KB per nuntium, quantulumque nuntius breve sit, quod est pretium novae encapsulationis omni tempore, potius quam secretum commune iterum uti.

6.2 Onera se ipsa describentia

Lingua Latina articulos definitos non habet. pq2. Praefixus applicationem gradatim perficiendam facit: se ipsum describit, ita ut usator viam decryptionis inspectione contenti eligat, non signo credendo vel memoria eorum quae socius sustinet. Lector qui praefixum non agnoscit, contentum aperire non potest ne male legatur, et nuntii antequam quisque post-quantum agere posset sigillati, sine migratione sicut NIP-44 ordinaria legi possunt.

6.3 Utraque strata operculi doni

A NIP-17 Nuntius privatus est NIP-59 Donum involutum: fama non subscripta, sub clave identitatis mittentis (genus XIII) sigillata, deinde sub clave transitoria per nuntium generata (genus MDLIX) involuta. In accessu qui clave identitatis directe tenet, Nymchat utramque stratum hybridat, unumque suo involucratu.

Accessus signatoris tantum tegmen externum obtinet. Sigillum a signatore ut ordinarium NIP-44 producitur — applicatio numquam clavis quae id facit videt — ita ut in loco hybridizari non possit. Hoc nihil contra impetum de quo agitur valet: sigillum tantum per involucrum attingi potest, et involucrum est quod registrator conservat. Adversarius fluxum registratum tenens ML-KEM frangere debet antequam sigillum ad impetum videri possit.

7Nuntii sociorum et tegitio partialis

Nuntius communis non est unus textus encryptus. Eiusdem textus apertus est ad omnes socios distributus, ubi quaeque copia ad propriam clavem ML-KEM illius membri condita est. Socius qui clavem publicavit involucrum hybridum accipit; qui non, involucrum classicum.

Hoc quaestionem rationis parat quam rudis executio errat. Si octo ex decem membris exemplar hybridum accipiunt, nuntius est. not Octimae partes octo tutae. Adversarius unum exemplar classicum textus nudi indiget, quod in omnibus decem idem sit, itaque nuntius tantum tutus est si omnis Exemplar est.

Nymchat ergo coberturam per singulos nuntios inter diffusionem sequitur — numerus tantum sciri potest dum involucra parantur — et insignia nuntiat "quantum-resistens ad 8 ex 10 membris" potius quam affirmet nuntium tutum esse. Ubi numerus non invenitur, quod est casus communis pro... Accepi nuntius communis (solus mittere numerat propagationem), interfacies tutelam partialem potius quam totam nuntiat. Tutelam totam ex propria copia sola affirmare de nuntio totius excessus esset.

7.1 Quod scutum nuntiat

Scutum veritatem de... declarat. nuntius, non de programma quod id misit:

• Praesidium plenum: omne exemplar huius textus plani hybrida exivit.
• Partim: aliquae nuntii communis copiae classicis modis editae sunt. Non quam integrae, sed corruptae delineatae sunt, quia unum tantum exemplar classicum textus nudi, qui omnibus eadem est, adversario satis est.
• Classica explicite declaratur, non ut signo carens demonstratur, quia indicium absens inter "indefensum", "corruptum", et "hoc constructum hoc munus caret" ambiguum est.

Sententia consignatur cum nuntius sigillatur, non potius quam denuo computata ex eo quod socius postea nuntiat. Textus cryptographicus qui iam exstat non melius tutus fieri potest quam erat, et interfacies quae vetera nuntia ex novo nuntio denuo delinearet falsum aliquid de partibus datorum in transmissione affirmaret.

Regulae gregis supra scriptae super hoc superponuntur, non potius quam hoc substituant: nuntius gregis plene tutus tantum est cum exemplar uniuscumque membri ita fuerit, et nuntius gregis acceptus sine numero tutelae partiem tantum ostendat.

8Exemplaria tibi destinata

Multae res quas clientis conservat propriae usoris identitati cryptographice clausae sunt: ordinatio concordata, index colloquiorum, claves communium, et archivum nuntiorum. Haec plus de usore ferunt quam plures nuntii singuli, itaque ea in modo classico relinquere eas res debiliorem conservatam faceret, quotquam diligenter ipsi nuntii sigillati essent. Eae eodem mixto utuntur, in clavi propriae usoris ex radice derivatae inclusa — praeter unam exceptionem in Sectione 3.2 descriptam, quae nymchat-pq-root ipsa categoria, quae sub clave quam sola ipsa producere potest sigillari non potest.

Haec artefacta sunt ubi ratio maxime valet. Massa configurationis vel linea in archivis in loco uno per annos manet, quae est eadem species rei quam hostis, qui nunc metit ut postea decipheret, colligit — multo magis quam sermonem singulum, qui saltem in animo utentis fugax est.

Unum vinculum hic formam regit potius quam clavis. Exemplar ad se destinatum legibile esse debet ab omnis apparatus in ratione, ita ut omnis apparatus in indice nuntii sui ostendat quid aperire possit, et ratio tantum scribat id quod omnes legere possint. Aliud enim scribere instrumentum ex suis propriis dispositionibus excluderet — idem defectus tacitus, quem Sectionis 3.2 pars aliis modis, ex alio itinere, vitat.

9Rotatio

Lingua Latina articulos definitos non habet. epoch Numerus in derivatione est qui rotationem sine nova materia clavium sinit. Incrementum eius novum par clavium ex eadem radice et nuntium denuo promulgatum efficit; socii novam clavim ex indice mutabili accipiunt. Ergo rotatio utentem non rogat ut aliquid iterum scribat: radix semel pro singula identitate generatur et aetas conversionem agit.

9.1 Aetates praeteritae servantur, et nihil denuo cryptatur.

Nihil denuo scribitur cum clavis mutatur. Cliens res ad decifrandum a aetate praesenti usque ad aetatem minus tres parat, ut nuntius paulo ante mutationem sigillatus adhuc per par clavium, quod erat in usu cum missus est, aperiatur.

Fenestra illa est quae rotationem tantum tuto fieri sinit: sine ea, omnis rotatio quaeque ea quae in itinere sunt relinqueret. Quicquid iam obsignatum est, legendibile manet durantem vitam identitatis, quia nuntius quem utens non iam aperire potest eis multo peior est quam nuntius cuius tutela post factum non meliorari potest (Section 10.5).

10Quod hoc non protegit

Scriptum quod tantum ea quae designatio perficit enumerat, systema non describit, et in interfacie proprietatem securitatis amplius declarare peius est quam eam omittere. Haec sequuntur extra sunt id quod haec constructio defendit.

10.1 Radix est secundum secretum, et eam amittere est irreperabile.

Hoc est pretium verum consilii. Condicio in Sectione II, qua utentem unum tantum res servandam habere debere, impletari non potest: nsec solum clavem post-quantumicam non reconstruit, quia totum scopus est ne valor publicus neque alius secretus eam patefaciat. Si nullum instrumentum radicem tenet et nulla ex obvolucris Sectionis 3.2 aperiri possunt, materia ad clavem ex radice derivatam sigillata recuperari non potest. Nulla est depositio et nulla est intentionaliter auctoritas quae eam tenere possit.

Transmissio manualis sola via, haec acutius est quam primum legi videatur. Usator qui numquam transcribit... nympq1… Codex ubique unam tantum eius exemplarem in uno apparatu habet, et perditio illius apparatus omnem nuntium post-quantumale, globulum configurationis, et lineam tabularii ei sigillatam amittit. Ille nsec Non prodest; ea est proprietas in qua tota dispositio nititur.

Omnis via involuta postea addita eandem metam pervadere debet quam via manualis. Assaltator viam facilem quam invenit impugnat, ergo ratio quantum valet via eius debilissima ad restitutionem valet — exempli gratia, verbum memorandum totum ad pretium ipsius verbi reducere posset, et series involuta est ipsa res quam hostis qui nunc metit et postea interpretatur colligit et otio fruens soliter perlaborat.

10.2 Authenticatio, a confidentialitate distincta

Omnis subscriptio in Nostr est Schnorr super secp256k1, et hoc hic immutatum manet. Adversarius computatrio quantica instructus subscriptiones falsificare et utentem in tempore realis simulare potest. Id quod permutatio clavium hybrida superat est: nunc metere, postea decifrare; impugnator qui nuntios hodie registrat, eos postea legere non potest. Hoc nuntium non reddat non falsificabilem contra adversarium qui machinam iam habet. Haec distinctio in applicationes deliberate portatur — indicium catapenis authenticationem nuntiat, scutum secretum, et sunt signa separata quia nuntius unum sine altero habere potest.

Hoc etiam limitat quod nuntius in Sectione IV promittere potest. Vinculum inter npub et clavem ML-KEM est signatura secp256k1, ergo adversarius qui eas falsificare potest clavem suam substituere potest. Secretum contra adversarium futurum non est idem ac veritas contra eum.

10.3 Metadatum

Involucrum doni donatorem occultat, accipiens ultra unum p index, genus, et temporis indicium nuntii interioris. Non celat eventum existere, magnitudinem eius, vel quando intermediarium id accepit. Analysi transmissionis ab ulla huius designi parte non tractatur.

10.4 Rete extralineare

Transitus Nymchatis per reticulum Bluetooth mesh est protocollum separatum cum propria salutatione initii, et hoc operi non adnectitur. Nuntii per reticulum classicales sunt.

10.5 Nuntii iam missi

Textus cryptographicus dum altera pars adhuc classica erat scriptus, semper classicus manet. Iam existit et iterum sigillari non potest. Tutela ab nuntio incipit ubi utraque pars claves post-quanticas habuit, non tempore quo hoc munus activum factum est.

11Alternativae consideratae

12Paritas implementationis

Nymchat duas independentes huius constructionis rationes praebet — unam in JavaScript pro applicatione web, unam in Dart pro applicationibus mobilibus, inclusum et portum ML-KEM-768 ab initio factum. Duae eadem primitivi rationes ordinariae sunt onus, unde inter se contraponuntur potius quam ut concordia fiduciā sequantur.

Implementatio ML-KEM Dart contra officielle validatur. NIST ACVP probationes cum responsibus notis pro ML-KEM-768 (ML-KEM-*-FIPS203) — viginti quinque casus generationis clavis, viginti quinque encapsulationis et decem decapsulationis, ut suam seriem peragant. Hi sunt vectores quos NIST edidit ut implementum probet, itaque eos superandos, testimonium est portam rectam esse, non tantum testimonium ut utraque clientia inter se consentiant. Ultra hoc, constructio communis vectorum experimentorum — derivatio semenis, encapsulatio, utraque forma oneris, et involucra integra — ex referentia JavaScript generatur et ab utraque serie experimentorum probatur. Secretum radicis illam constructionem extendit non eam substituens: radix ad semen, radix ad par clavis, signum publicum radicis, et clavis derivata, nomen unicum, et data coniuncta strati exterioris sunt vectores sui ipsius, ita ut utraque clientia non possint discrepare de eo quod... nympq1… Codex elementa datorum significat vel de elementis quibus nuntius obsignatur. In ulla ratione discrepantia aedificationem impedit, non potius nuntium efficiens quod alter cliens aperire non potest.

Inter haec, signum digitorum nominandum est. Id est quod instrumentum distinguit inter "hoc est radix quam teneo" et "hoc est alia"; et si cliens signum alterius clientis non potest reproducere, tabulam rectam ut nihil legere videtur — et deinde, Sectionem 3.3 sequendo, secundam radicem creat et identitatem dividit. Propter hanc rem ipsam, vector est.