Navorsers van die Universiteit van Kalifornië, San Diego, het 'n verbeterde aanvalstegniek teen die RSA-algoritme ontwikkel, wat die vervalsing van digitale handtekeninge moontlik maak sonder om die onderliggende RSA-primgetalle te faktoriseer en sonder die noodsaaklikheid om die privaat sleutel te herwin. Die hulpbronne wat benodig word om 'n 1024-bis RSA-sleutel aan te val, word geskat op 1 380 jaar se berekening op 'n enkele verwerkerkern. Deur die universiteit se bestaande groep te gebruik, het dit hulle toegelaat om die parameters te bepaal wat nodig is om vals RSA-handtekeninge binne vyf maande te genereer (die eksperiment het nie KI-versnellers of GPU's gebruik nie, maar hul gebruik kan die berekeningstyd aansienlik verminder). Ter vergelyking vereis die klassieke faktoriseringsmetode tussen 500 000 en 'n miljoen jaar se berekening op 'n enkele verwerkerkern om 'n RSA-1024-privaat sleutel te rekonstrueer.
Om 'n aanval uit te voer, vereis dit die vermoë om herhaaldelik versoeke te stuur om die aanvaller se gegenereerde data te onderteken, byvoorbeeld deur toegang tot 'n magtigingsdiens of 'n HSM-module te verkry. Om RSA-1024-parameters te bepaal, is dit voldoende om 232 sulke versoeke te stuur, en om RSA-2048-sleutels wat in die Privacy Pass-protokol gebruik word, aan te val, is 243 voldoende. Nadat 'n skikking van getekende data ontvang is, begin 'n lang proses van parameterberekening (ongeveer 265 bewerkings vir RSA-1024). Sodra hierdie parameters bereken is, kan die aanvaller vals handtekeninge vir enige data skep en ongeveer 180 uur se berekening aan 'n enkele kern per handtekening bestee.
Die metode is slegs van toepassing op RSA-handtekeninge wat nie formatering of opvulling voor enkripsie gebruik nie. Blinde handtekeningimplementerings, insluitend dié wat in die Privacy Pass-protokol gebruik word, is kwesbaar vir die aanval. Mees algemeen gebruikte RSA-implementerings, insluitend PKCS#1v1.5 en RSA-PSS (gebruik in TLS en SSH), gebruik opvulling en is nie kwesbaar vir die aanval nie.
RSA-enkripsie is gebaseer op die bewerking om 'n groot getal tot 'n mag modulo te verhef. Die publieke sleutel bevat die modulus en die mag. Die modulus word gegenereer deur twee ewekansige priemgetalle te gebruik wat slegs aan die eienaar van die privaat sleutel bekend is. Die voorgestelde metode is gebaseer op 'n studie wat in 2007 gepubliseer is, wat getoon het dat die onttrekking van die wortel van 'n geïnkripteerde boodskap tot 'n mag wat in die publieke sleutel gespesifiseer word sonder kennis van die geheime faktore 'n minder hulpbron-intensiewe bewerking is as om die faktore self te faktoriseer.
Deur 'n gespesialiseerde sifgebaseerde getalveldmetode (SNFS) te gebruik, kon navorsers die kompleksiteit van die kompromittering van RSA-1024-sleutels tot 265 bewerkings verminder, wat praktiese aanvalle op moderne groepe moontlik maak. Vir 2048-bis RSA-sleutels word die kompleksiteit op 290 geraam, wat teoreties haalbaar is vir groot korporasies of intelligensie-agentskappe. Vir 4096-bis-sleutels is die kompleksiteit 2119 bewerkings, wat tans in die praktyk onhaalbaar is, maar laer as die minimum van 2128 wat deur die NSA, die Nasionale Instituut vir Standaarde en Tegnologie en die Europese Agentskap vir Netwerk- en Inligtingsekuriteit aanbeveel word.
Bron: opennet.ru
