{"id":183509,"date":"2026-09-29T16:54:35","date_gmt":"2026-09-29T14:54:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/metod-ataki-znachitelno-sokrashhayushhij-resursy-dlya-poddelki-czifrovyh-podpisej-rsa"},"modified":"2026-09-29T16:54:41","modified_gmt":"2026-09-29T14:54:41","slug":"attack-method-that-significantly-reduces-the-resources-needed-to-forge-rsa-digital-signatures","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/attack-method-that-significantly-reduces-the-resources-needed-to-forge-rsa-digital-signatures","title":{"rendered":"Aanvalsmethode die middelen aanzienlijk vermindert voor het vervalsen van digitale handtekeningen met RSA","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Onderzoekers van de Universiteit van Californi\u00eb in San Diego hebben een geavanceerde aanvalstechniek op het RSA-algoritme ontwikkeld, waarmee digitale handtekeningen kunnen worden vervalst zonder factorisatie van de onderliggende priemgetallen van RSA en zonder de priv\u00e9-sleutel te hoeven herstellen. De middelen die nodig zijn om een aanval uit te voeren op een RSA-sleutel van 1024 bits, zijn geschat op 1380 jaar rekentijd op \u00e9\u00e9n processor kern, wat het mogelijk maakte om in vijf maanden de parameters te bepalen die nodig zijn voor het genereren van valse RSA-handtekeningen op het universitaire cluster (in het experiment werden geen AI-versnellers en GPU's gebruikt, bij toepassing hiervan kan de rekentijd aanzienlijk worden verkort). Ter vergelijking vereist de klassieke factorisatiemethode om de priv\u00e9sleutel van RSA-1024 te recre\u00ebren tussen de 500.000 en een miljoen jaar rekentijd op \u00e9\u00e9n processor kern. <\/p>\n
Voor het uitvoeren van een aanval is het nodig om herhaaldelijk verzoeken te kunnen indienen voor het ondertekenen van de door de aanvaller gevormde gegevens, bijvoorbeeld door toegang te vragen tot een autorisatieservice of een HSM-module. Om de parameters van RSA-1024 te bepalen, is het voldoende om 232 van dergelijke verzoeken te verzenden, en voor een aanval op RSA-2048-sleutels die in het Privacy Pass-protocol worden gebruikt, is dat 243. Nadat een reeks ondertekende gegevens is verkregen, start een langdurig proces om de parameters te berekenen (voor RSA-1024 ongeveer 265 bewerkingen), waarna de aanvaller valse handtekeningen kan cre\u00ebren voor willekeurige gegevens, met een rekenlast van ongeveer 180 uur op \u00e9\u00e9n kern voor elke handtekening. <\/p>\n
De methode is alleen toepasbaar op RSA-handtekeningen waarbij geen opvulling en extra opvulling v\u00f3\u00f3r de encryptie wordt gebruikt (padding). De aanval is kwetsbaar voor implementaties van blinde handtekening, waaronder die welke in het Privacy Pass-protocol worden gebruikt. De meeste gangbare implementaties van RSA, inclusief PKCS#1v1.5 en RSA-PSS (gebruikt in TLS en SSH), maken gebruik van extra opvulling en zijn niet kwetsbaar voor de aanval. <\/p>\n
De basis van RSA-encryptie is de operatie van exponenti\u00eble machtsverheffing modulo een groot getal. De openbare sleutel bevat het modulus en de exponent. Het modulus wordt gevormd op basis van twee willekeurige priemgetallen die alleen bekend zijn bij de eigenaar van de priv\u00e9sleutel. De voorgestelde methode is gebaseerd op een onderzoek uit 2007, dat heeft aangetoond dat het extraheren van de wortel in de exponent zoals gespecificeerd in de openbare sleutel uit het versleutelde bericht, zonder informatie over de geheime factoren, een minder resource-intensieve operatie is dan het factoriseren van de factoren zelf. <\/p>\n
Door gebruik te maken van een speciale methode genaamd sieving of numerieke velden (SNFS), hebben onderzoekers de complexiteit voor het compromitteren van RSA-1024 sleutels weten te reduceren tot 265 operaties, wat praktische aanvallen op moderne clusters mogelijk maakt. Voor 2048-bits RSA-sleutels wordt de aanvallingscomplexiteit geschat op 290, wat theoretisch uitvoerbaar is door grote bedrijven of inlichtingendiensten. Voor 4096-bits sleutels is de aanvallingscomplexiteit 2119 operaties, wat momenteel praktisch nog niet haalbaar is, maar onder de aanbevolen minimumwaarde van 2128 ligt, zoals vastgesteld door de NSA, het National Institute of Standards and Technology en het Europese Agentschap voor Netwerk- en Informatiebeveiliging. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"