本文正式研究了安全群组消息（SGM）协议的安全性定义与模块化构造，并以 IETF 正在标准化的 Messaging Layer Security（MLS）协议为具体对象，填补了此前缺乏对完整 MLS 协议进行安全证明的空白。此前对 MLS 的分析主要局限于其子协议（如连续群组密钥协商 CGKA），而完整 MLS 协议由于包含复杂的握手、成员变更、密钥更新、消息加密等多个环节，一直缺乏统一的安全建模。作者首先提出一个参数化的安全游戏来形式化定义 SGM 协议的安全性，该游戏通过一个“安全谓词”刻画具体构造所达到的安全级别。随后，作者将 MLS 视为一个 SGM 协议，展示了如何以黑盒方式模块化地由三个核心组件（以及若干标准密码原语）搭建：CGKA、前向安全的群组 AEAD（FS-GAEAD）和 PRF-PRNG。其中 FS-GAEAD 是一种新原语，大致对应群组消息通信的一个“epoch”；PRF-PRNG 则是一个双输入哈希函数，其第一个输入作为伪随机函数、第二个输入作为带输入的伪随机生成器。关键的贡献在于：MLS 的 SGM 安全谓词可以完全表示为底层各组件安全谓词的函数，因此任意替换某个组件都能立即得到新构造的安全声明。作者还给出了所有组件原语的实例化，包括用 MLS 的 TreeKEM 子协议实现 CGKA（并证明了其自适应安全性），以及用一个新构造（已被 MLS 采用）实现 FS-GAEAD。此外，文中还引入了若干新技术、新原语和新结果，例如扩展了 CGKA 文献中常用的广义选择性解密证明技术，并证明了另一个实用且更安全的 CGKA 协议 RTreeKEM（Alwen 等，CRYPTO '20）的自适应性安全。模块化方法直接产生一个推论，即使用 RTreeKEM 的 SGM 构造的安全特性。

本论文研究了大规模群组通信中的密钥协商协议，重点关注MLS（Messaging Layer Security）工作组提出的TreeKEM协议及其变体。TreeKEM是当前IETF MLS草案中采用的连续群组密钥协商方案，但其动态操作（如增减用户）存在效率问题。论文形式化并分析了一种名为Tainted TreeKEM（TTKEM）的变体，该变体最初由Millican在MLS邮件列表中提出。TTKEM通过让新加入的节点继承其父节点的部分密钥材料（即“tainted”），从而在某些群组操作分布下比TreeKEM更高效，论文通过模拟量化了这种效率提升。此外，论文给出了TTKEM的两项安全性证明，分别针对随机预言机模型和标准模型，实现了后向安全和前向安全，并能抵抗自适应攻击者（即攻击者可以自适应地选择操作序列）。在此之前，没有任何针对类TreeKEM协议在自适应攻击者下建立紧致安全性证明的工作。论文还首次证明（甚至形式化）了主动安全（active security）场景，即服务器可以任意偏离协议规范的情况。不过，完全主动安全（用户也可任意偏离）仍未解决。本工作适合密码学研究者、安全协议设计者以及MLS标准制定者阅读。

该论文提出一种在类似MLS（Messaging Layer Security）的安全群组消息协议中隐藏元数据的通用方法。MLS是IETF标准化的端到端加密群组通信协议，但其设计主要关注消息内容的机密性，而元数据（如发送者身份、群组结构、消息时序等）仍可能被观察者推断。作者设计了一种简单、模块化的方案，通过引入密码学原语（如匿名密钥交换、可穿刺加密、后量子安全假设）来隐藏通信模式。该方法独立于底层MLS协议的细节，可兼容现有实现，并支持后量子安全性（基于格密码）。实验表明，该方案在通信开销上仅增加少量带宽，且计算效率适合实际部署。核心贡献在于：(1) 形式化定义了群组消息中元数据隐藏的安全模型；(2) 提供了模块化构造，可组合不同隐私增强技术；(3) 给出了后量子安全的实例化。对于安全从业者，该工作揭示了群组通信中常被忽视的元数据泄露风险，并提供了可落地的解决方案。