本论文研究了大规模群组通信中的密钥协商协议，重点关注MLS（Messaging Layer Security）工作组提出的TreeKEM协议及其变体。TreeKEM是当前IETF MLS草案中采用的连续群组密钥协商方案，但其动态操作（如增减用户）存在效率问题。论文形式化并分析了一种名为Tainted TreeKEM（TTKEM）的变体，该变体最初由Millican在MLS邮件列表中提出。TTKEM通过让新加入的节点继承其父节点的部分密钥材料（即“tainted”），从而在某些群组操作分布下比TreeKEM更高效，论文通过模拟量化了这种效率提升。此外，论文给出了TTKEM的两项安全性证明，分别针对随机预言机模型和标准模型，实现了后向安全和前向安全，并能抵抗自适应攻击者（即攻击者可以自适应地选择操作序列）。在此之前，没有任何针对类TreeKEM协议在自适应攻击者下建立紧致安全性证明的工作。论文还首次证明（甚至形式化）了主动安全（active security）场景，即服务器可以任意偏离协议规范的情况。不过，完全主动安全（用户也可任意偏离）仍未解决。本工作适合密码学研究者、安全协议设计者以及MLS标准制定者阅读。

本文针对去中心化网络环境下的安全群组消息协议提出了密钥协商方案。现有安全群组消息协议通常假设一个中心化服务器来提供一致的全局顺序更新，但移动设备频繁离线、成员动态加入/移除、以及设备泄露等场景对协议设计提出挑战。作者将去中心化连续群组密钥协商（Decentralized Continuous Group Key Agreement, DCGKA）定义为新的密码学原语，涵盖了去中心化安全群组消息的核心功能。他们给出了一个实际的DCGKA协议构造，并证明了其安全性。该协议在设备泄露时能提供前向安全性（Forward Secrecy）和泄露后安全性（Post-Compromise Security），即过去和未来的消息均不受影响。进一步，作者描述了如何从DCGKA构建完整的消息协议。通过原型实现评估，证明了协议具有实际效率。该工作适用于需要去中心化、无中心权威的安全群组通信场景，如去中心化社交网络、端到端加密群聊等。

该论文针对连续组密钥协商（CGKA）协议中的带宽瓶颈问题展开研究。CGKA 是保证 Signal、MLS 等安全群组消息协议强安全性的关键组件，通过定期提交 commit 消息来刷新密钥材料以抵御设备泄露。然而，现有 CGKA 中传播 commit 消息的带宽成本占据了主导地位，严重影响了大规模部署的可行性。作者提出了一种基于多接收者公钥加密（Multi-Recipient PKE）的新型 CGKA 构造，利用该原语将单个 commit 消息加密为仅单个密文，使得所有群组成员可直接解密，从而大幅降低带宽开销。论文给出了形式化的安全定义，证明了在标准模型下满足 CGKA 所需的安全属性，并进行了性能分析，展示了相比现有方案（如 TreeKEM）在通信效率上的显著提升。贡献在于首次将多接收者 PKE 系统性地应用于 CGKA，为高效、实用的安全群组消息协议提供了新的设计思路。