Organisationen, die noch 1024-Bit-RSA nutzen, stehen bei einigen Angriffen geringeren rechnerischen Hürden gegenüber. Das geht aus einer Untersuchung von Google DeepMind hervor, über die SecurityWeek am 9. November berichtet. Von Menschen beaufsichtigte KI-Agenten halfen dabei, Verbesserungen bei Signaturfälschung und Schlüsselfaktorisierung zu entwickeln. Die Ergebnisse haben allerdings erhebliche Voraussetzungen, und einige Algorithmen wurden nur theoretisch bewertet.
An der Arbeit waren Kryptografen der UC San Diego und von Inria beteiligt. Der Geltungsbereich umfasst veraltete RSA-1024-Systeme, sagte Pushmeet Kohli, Vizepräsident bei Google DeepMind und Chefwissenschaftler bei Google Cloud. Er erklärte außerdem, dass moderne Verschlüsselungsprotokolle, die fast durchweg Schlüssel mit mindestens 2048 Bit verwenden, sicher bleiben.
Zwei Wege zur Senkung des Rechenaufwands
Ein Ergebnis betrifft die Kosten für die Faktorisierung mehrerer RSA-Schlüssel gleicher Länge, also das Finden der mathematischen Faktoren, die diesen Schlüsseln zugrunde liegen. Der vorgeschlagene Algorithmus verteilt eine aufwendige anfängliche Berechnung auf die nachfolgenden Ziele. DeepMind schätzt, dass sich jeder weitere 1024-Bit-Schlüssel im Durchschnitt etwa 30-mal günstiger faktorisieren ließe als mit dem bisherigen besten Ansatz.
Diese Schätzung setzt einen Vorabaufwand voraus, der der Faktorisierung eines einzelnen Schlüssels entspricht. Der Algorithmus ist noch nicht implementiert.
Das andere Ergebnis betrifft das Fälschen digitaler Signaturen. Es untersucht Padding, also vorab festgelegte Daten, mit denen eine Nachricht auf eine feste Blockgröße aufgefüllt wird. Forscher wussten bereits, dass Padding Fälschungen erschweren kann. Offen war jedoch, wie stark es half, wenn Angreifer das zu signierende Material selbst wählen konnten.
DeepMinds Antwort hängt davon ab, welcher Anteil des Blocks unter der Kontrolle des Angreifers steht. Kohli sagte, Padding biete keinen Schutz mehr, wenn dieser Anteil etwa die Hälfte des Blocks oder mehr erreicht. SecurityWeek berichtete, dass das begleitende Paper das Ergebnis auf PKCS#1 v1.5 anwendet. Dieses Format wird über die PKCS#11-Signaturschnittstelle auf kryptografischen Geräten verwendet, darunter Hardware-Security-Module (HSMs).
Eine nachgewiesene Fälschung unter anspruchsvollen Voraussetzungen
Um den Fälschungsansatz in einer isolierten Umgebung zu testen, griffen die Agenten auf einen früheren akademischen Angriff mit demselben 1024-Bit-Schlüssel zurück. Die erste Fälschung verbrauchte 391 CPU-Core-Jahre, verglichen mit 1.380 in der früheren Studie. Das entspricht einer 3,5-fachen Verringerung. Ein Core-Jahr bezeichnet die Arbeit eines Prozessorkerns über ein Jahr; es ist nicht die verstrichene Dauer des Experiments.
Zwei Agenten planten, führten die Berechnung aus und debuggten sie in weniger als vier Tagen. Ein menschlicher Forscher schickte etwa 20 Nachrichten, vor allem Freigaben. Das Experiment faktorisierte den Schlüssel nicht. Dafür wären schätzungsweise 500.000 bis 1 Million Core-Jahre nötig.
Mit Kontrolle über einen kleineren Teil des Blocks, zum Beispiel einen 32-Byte-Hash, eine Darstellung einer Nachricht fester Länge, wird die Fälschung schwieriger. DeepMind schätzt dennoch, dass ein anderer Algorithmus für 1024-Bit-Schlüssel eine theoretische, etwa 1.600-fache Verbesserung gegenüber der bisherigen besten Methode bietet.
Kohli stellte die Forschung als Anlass dar, KI einzusetzen, um Annahmen über die Schwierigkeit kryptografischer Angriffe zu hinterfragen. Für Betreiber, die das Signaturergebnis bewerten, bestimmen die Voraussetzungen der Forscher dessen Relevanz: Der Angriff erfordert im Voraus etwa vier Milliarden Signaturabfragen und stellt den privaten Schlüssel nicht wieder her. Geräte, die Nachrichten intern hashen, fallen nicht in den Geltungsbereich dieses Signaturangriffs.
