Wprowadzenie do problemu / definicja
RSA pozostaje jednym z kluczowych algorytmów kryptografii asymetrycznej, stosowanym do podpisów cyfrowych, uwierzytelniania oraz ochrony kluczy. Bezpieczeństwo tego mechanizmu opiera się przede wszystkim na trudności faktoryzacji dużych liczb oraz odporności określonych schematów podpisu na fałszerstwo bez znajomości klucza prywatnego.
Najnowsze badania pokazują jednak, że w przypadku starszych wdrożeń opartych na RSA-1024 koszt niektórych ataków może być niższy, niż wcześniej zakładano. Szczególne znaczenie ma tu wykorzystanie agentów AI do optymalizacji obliczeń i przyspieszania prac badawczych.
W skrócie
Google DeepMind we współpracy z kryptografami akademickimi opisał dwa istotne wyniki dotyczące bezpieczeństwa RSA-1024. Pierwszy dotyczy fałszowania podpisów w wybranych scenariuszach użycia PKCS#1 v1.5, zwłaszcza wtedy, gdy atakujący kontroluje znaczną część podpisywanego bloku.
Drugi wynik odnosi się do tańszej faktoryzacji wielu kluczy RSA tego samego rozmiaru dzięki współdzieleniu kosztu obliczeń przygotowawczych. Badacze podkreślają, że prace te dotyczą głównie przestarzałych implementacji RSA-1024, a nie nowoczesnych wdrożeń wykorzystujących klucze 2048-bitowe lub większe.
Kontekst / historia
RSA-1024 od wielu lat nie jest uznawane za zalecany poziom bezpieczeństwa dla nowych wdrożeń. Mimo to starsze urządzenia, systemy przemysłowe, rozwiązania wbudowane, interfejsy HSM i część infrastruktury legacy nadal wykorzystują ten rozmiar klucza z powodów kompatybilności, wydajności lub długiego cyklu życia.
Problem nie dotyczy wyłącznie długości klucza. Duże znaczenie ma także sposób implementacji podpisu, wybór schematu paddingu oraz charakter interfejsów umożliwiających składanie żądań podpisu. W praktyce to właśnie połączenie słabszych parametrów kryptograficznych i nieoptymalnego modelu użycia może tworzyć realną powierzchnię ataku.
Analiza techniczna
Pierwszy z opisanych wyników dotyczy podpisów cyfrowych w schemacie PKCS#1 v1.5. Kluczowe znaczenie ma tutaj to, jak dużą część podpisywanego bloku kontroluje atakujący. Jeżeli przeciwnik ma wpływ na około połowę bloku lub więcej, ochronna rola paddingu znacząco maleje, co może umożliwić skuteczniejsze konstruowanie fałszywych podpisów.
Badacze ponownie wykonali wcześniejszy atak akademicki na tym samym kluczu RSA-1024 i zredukowali wymagany czas CPU około 3,5-krotnie. Według przedstawionych danych pierwsze fałszerstwo wymagało około 391 lat rdzeni CPU zamiast 1380 lat rdzeni CPU w poprzednim podejściu. Ważnym elementem badań było użycie agentów AI do projektowania, uruchamiania i debugowania eksperymentów pod nadzorem człowieka.
Nie oznacza to jednak pełnego przełamania RSA przez sztuczną inteligencję. W tym scenariuszu klucz nie został sfaktoryzowany, a celem było wygenerowanie poprawnego podpisu bez odzyskania klucza prywatnego. Co więcej, atak wymaga około 4 miliardów wcześniejszych zapytań o podpis i nie działa wobec urządzeń, które same haszują wiadomość przed podpisaniem.
Drugi wynik dotyczy faktoryzacji wielu kluczy RSA tego samego rozmiaru. Koncepcja polega na współdzieleniu kosztu jednego dużego etapu przygotowawczego między wiele celów. Zgodnie z przedstawionymi szacunkami nowy algorytm może obniżyć średni koszt faktoryzacji każdego kolejnego klucza RSA-1024 nawet około 30-krotnie względem wcześniejszych metod, choć na razie pozostaje to wynikiem teoretycznym.
Interesujące jest również to, że w trudniejszym wariancie, gdy atakujący kontroluje jedynie mniejszą część bloku, na przykład 32-bajtowy skrót, badacze także znaleźli lepszy algorytm. Według ich szacunków jego skuteczność wobec RSA-1024 może być około 1600 razy lepsza niż w poprzednim najlepszym podejściu teoretycznym.
Konsekwencje / ryzyko
Dla organizacji najważniejszy wniosek ma charakter praktyczny: wszystkie systemy nadal korzystające z RSA-1024 powinny zostać uznane za obszar podwyższonego ryzyka. Dotyczy to szczególnie środowisk legacy, systemów OT, starszych urządzeń sieciowych, integracji z HSM oraz rozwiązań PKI utrzymywanych ze względów kompatybilności.
Ryzyko nie sprowadza się wyłącznie do pełnej faktoryzacji klucza. W wielu scenariuszach bardziej realnym zagrożeniem może być fałszowanie podpisów, jeśli napastnik uzyska masowy dostęp do operacji podpisu i możliwość kontrolowania wejścia do funkcji kryptograficznej.
Szersze znaczenie tych badań polega także na tym, że agenci AI mogą obniżać koszt eksperymentów kryptograficznych, automatyzować dobór metod i przyspieszać analizę złożonych problemów matematycznych. Dla obrońców oznacza to konieczność częstszej rewizji modeli zagrożeń i szybszego wycofywania słabych parametrów kryptograficznych.
Rekomendacje
Organizacje powinny jak najszybciej zidentyfikować wszystkie zasoby korzystające z RSA-1024, zarówno w certyfikatach, jak i w wewnętrznych mechanizmach podpisu, aplikacjach legacy, urządzeniach sieciowych, HSM oraz systemach przemysłowych. Brak ekspozycji internetowej nie eliminuje ryzyka, jeśli funkcje podpisu są dostępne przez sieć wewnętrzną lub interfejsy aplikacyjne.
Priorytetem powinna być migracja do kluczy RSA-2048 lub silniejszych, a tam, gdzie to możliwe, także przejście na nowsze schematy podpisu i aktualne biblioteki kryptograficzne. Szczególną uwagę należy zwrócić na eliminację starszych trybów podpisu oraz interfejsów umożliwiających przekazywanie niezhashowanych lub częściowo kontrolowanych danych do podpisania.
- zidentyfikować wszystkie użycia RSA-1024 w organizacji,
- wycofać PKCS#1 v1.5 tam, gdzie to możliwe,
- ograniczyć możliwość podpisywania arbitralnych danych dostarczanych przez klienta,
- wprowadzić limity liczby operacji podpisu i kontrolę tempa żądań,
- wdrożyć telemetrię oraz detekcję nietypowej liczby żądań podpisu,
- zaplanować rotację kluczy legacy i formalne wycofanie słabych parametrów kryptograficznych.
W środowiskach regulowanych warto również uzupełnić rejestr ryzyk o scenariusze, w których AI obniża koszt zaawansowanych ataków kryptograficznych lub implementacyjnych.
Podsumowanie
Badania dotyczące RSA-1024 nie oznaczają natychmiastowego załamania współczesnej kryptografii, ale stanowią wyraźne ostrzeżenie dla właścicieli systemów legacy. Koszt wybranych ataków na przestarzałe implementacje może być niższy, niż wcześniej szacowano, a agenci AI zaczynają odgrywać realną rolę w przyspieszaniu badań i optymalizacji złożonych obliczeń.
Dla zespołów bezpieczeństwa wniosek jest jednoznaczny: RSA-1024 powinno zostać możliwie szybko wyeliminowane, a starsze interfejsy podpisu oraz schematy paddingu muszą przejść pilny przegląd bezpieczeństwa.