A Kaliforniai Egyetem San Diegó-i kutatói egy fejlett támadási technikát dolgoztak ki az RSA algoritmus ellen, amely lehetővé teszi digitális aláírások hamisítását anélkül, hogy a RSA mögötti prímszámokat fel kellene bontani, és anélkül, hogy a titkos kulcsot vissza kellene állítani. Az RSA-1024 kulcsra indított támadáshoz szükséges erőforrásokat 1380 évnyi számításra becsülték egyetlen processzormag alatt, ami lehetővé tette, hogy az egyetem meglévő klaszterén 5 hónap alatt meghatározzák a hamis RSA-aláírások létrehozásához szükséges paramétereket (a kísérlet során nem használtak AI gyorsítókat és GPU-kat, de ezek alkalmazásával a számítási idő jelentősen csökkenhet). Összehasonlításképpen, a klasszikus faktorizálási módszer az RSA-1024 titkos kulcsának visszaállításához 500 ezer és 1 millió év közötti számításokat igényel egyetlen processzormag alatt.
A támadás végrehajtásához lehetőség szükséges arra, hogy többször is aláírási kéréseket küldjünk a támadó által generált adatokra, például egy hitelesítési szolgáltatáshoz vagy HSM modulhoz fordulva. Az RSA-1024 paramétereinek meghatározásához elegendő 232 ilyen kérést küldeni, míg az RSA-2048 kulcsokat, amelyeket a Privacy Pass protokollban használnak, megtámadni 243 kérés elegendő. Miután megkapták az aláírt adathalmazt, megkezdődik a paraméterek számításának hosszú folyamata (RSA-1024 esetén körülbelül 265 művelet). Ezt követően a támadó hamis aláírásokat hozhat létre bármilyen adatra, körülbelül 180 órányi számítási idő elköltésével egyetlen mag alatt minden aláírás esetében.
A módszer csak az RSA-aláírásokra alkalmazható, ahol nincs formázás és kiegészítő töltés az titkosítás előtt (padding). A vak aláírás implementációk sebezhetők a támadásra, beleértve a Privacy Pass protokollban használtakat is. A legtöbb gyakran használt RSA implementáció, beleértve a PKCS#1v1.5 és RSA-PSS-t (amelyeket a TLS és SSH protokollokban használnak), kiegészítő töltést alkalmaz, és nem sebezhetők a támadással.
Az RSA titkosítás alapja egy nagy szám modulusának hatványozása. A nyilvános kulcs tartalmazza a modulusot és a hatványt. A modulus két véletlenszerű prímszám alapján jön létre, amelyek csak a privát kulcs birtokosa számára ismertek. A javasolt módszer egy 2007-ben közzétett kutatáson alapul, amely bebizonyította, hogy a titkosított üzenetből a nyilvános kulcsban megadott hatványú gyök kiemelése titkos szorzók információja nélkül kevesebb erőforrást igényel, mint maguknak a szorzóknak a faktorizálása.
Egy speciális számmező rács (SNFS) módszer használatával a kutatóknak sikerült az RSA-1024 kulcsok kompromittálásának bonyolultságát 265 műveletre csökkenteni, lehetővé téve a gyakorlati támadásokat a modern klasztereken. Az RSA 2048 bites kulcsok esetében a támadás bonyolultságát 290-re becsülik, ami elméletileg megvalósítható nagyvállalatok vagy titkosszolgálatok által. A 4096 bites kulcsok támadásának bonyolultsága 2119 művelet, ami gyakorlatilag jelenleg még nem elérhető, de alatta van az NSA, a Szabványügyi és Technológiai Intézet és az Európai Hálózati és Információs Biztonsági Ügynökség által javasolt 2128 minimum szintnek.
Forrás: opennet.ru
