Исследователи из Университета Калифорнии в Сан-Диего и французского INRIA продемонстрировали возможность подделки RSA-подписей на 1,024-битном ключе внутри аппаратного модуля безопасности, не извлекая сам ключ.
Атака потребовала около 2^32 запросов на подпись, что составляет примерно 4 миллиарда, и 1,380 CPU-годов. Авторы исследования утверждают, что это не представляет немедленной угрозы для большинства современных RSA-разработок, которые используют дополнение.
В ходе эксперимента исследователи имитировали аппаратный модуль безопасности — устройство, предназначенное для хранения приватных ключей и подписания запросов. Они отключили режим FIPS, сертифицированный режим безопасности, чтобы модуль подписывал неформатированные числа, и использовали тестовый ключ.
Процесс атаки можно представить как взаимодействие с хранилищем, которое никогда не открывается, но ставит печать на любой чистый лист бумаги, который вы подсовываете под дверь. После достаточного количества запросов можно научиться делать печать самостоятельно.
RSA, предложенный в 1977 году, основывается на сложности разложения больших простых чисел. Авторы исследования подчеркивают, что безопасность RSA в основном зависит от этой сложности, хотя сама атака не требует разложения чисел.
Стандартные RSA-подписи применяют дополнение, что делает их менее уязвимыми к подобным атакам. Авторы исследования отмечают, что их метод не представляет угрозы для большинства современных RSA-разработок.
В то же время, исследование поднимает вопросы о переходе к постквантовой криптографии. Ученые предостерегают, что текущие методы защиты могут оказаться недостаточными в условиях квантовых вычислений.
К примеру, исследователи из Caltech оценили, что для запуска алгоритма Шора, угрожающего эллиптическим кривым, потребуется от 10,000 до 20,000 кубитов. Google установила 2029 год как срок для завершения миграции своих систем на постквантовую криптографию.
Источники
Материал носит информационный характер и не является инвестиционной рекомендацией.