Las organizaciones que todavía usan RSA de 1024 bits se enfrentan a menores barreras computacionales para algunos ataques, según afirma Google DeepMind en una investigación que cubrió SecurityWeek el 9 de noviembre. Agentes de IA supervisados por humanos ayudaron a desarrollar mejoras en la falsificación de firmas y en la factorización de claves, aunque los hallazgos tienen requisitos previos considerables e incluyen algoritmos evaluados solo de forma teórica.
En el trabajo participaron criptógrafos de UC San Diego e Inria. Su alcance se limita a los sistemas RSA-1024 obsoletos, afirmó Pushmeet Kohli, vicepresidente de Google DeepMind y científico jefe de Google Cloud. Según él, los protocolos de cifrado modernos, que casi universalmente usan claves de al menos 2048 bits, siguen siendo seguros.
Dos vías para reducir el coste computacional
Un resultado aborda el coste de factorizar varias claves RSA del mismo tamaño, es decir, encontrar los factores matemáticos que subyacen a esas claves. El algoritmo propuesto reparte un cálculo inicial costoso entre los objetivos posteriores. DeepMind calcula que, en promedio, cada clave adicional de 1024 bits costaría unas 30 veces menos de factorizar que con el mejor enfoque anterior.
Esa estimación supone un trabajo previo equivalente a factorizar una clave. El algoritmo todavía no se ha implementado.
El otro resultado se refiere a la falsificación de firmas digitales. Examina el relleno: datos predefinidos que se usan para completar un mensaje hasta un tamaño de bloque fijo. Los investigadores ya sabían que el relleno podía dificultar la falsificación; la cuestión pendiente era cuánto ayudaba cuando los atacantes podían elegir el material que se iba a firmar.
La respuesta de DeepMind depende de la parte del bloque bajo control del atacante. Kohli afirmó que el relleno no ofrece ninguna protección cuando esa parte alcanza aproximadamente la mitad del bloque o más. SecurityWeek informó de que el artículo que acompaña el estudio aplica el hallazgo a PKCS#1 v1.5, un formato usado a través de la interfaz de firma PKCS#11 en dispositivos criptográficos, incluidos los módulos de seguridad de hardware (HSM).
Una falsificación demostrada, con requisitos exigentes
Para probar el enfoque de falsificación en un entorno aislado, los agentes repitieron un ataque académico anterior con la misma clave de 1024 bits. Generar la primera falsificación consumió 391 años-núcleo de CPU, frente a los 1.380 del estudio anterior, lo que supone una reducción de 3,5 veces. Un año-núcleo representa el trabajo de un núcleo de procesador durante un año; no es la duración real del experimento.
Dos agentes planificaron, ejecutaron y depuraron el cálculo en menos de cuatro días. Un investigador humano envió unos 20 mensajes, sobre todo aprobaciones. El experimento no factorizó la clave, una tarea que se estima requeriría entre 500.000 y 1 millón de años-núcleo.
Si el atacante controla una porción menor del bloque, por ejemplo un hash de 32 bytes, es decir, una representación de longitud fija de un mensaje, la falsificación se vuelve más difícil. No obstante, DeepMind estima que otro algoritmo ofrece una mejora teórica de unas 1.600 veces frente al mejor método anterior para claves de 1024 bits.
Kohli presentó la investigación como una razón para usar la IA y cuestionar las suposiciones sobre la dificultad de los ataques criptográficos. Para los operadores que evalúan el hallazgo sobre firmas, los requisitos previos de los investigadores determinan su relevancia: el ataque requiere unas 4.000 millones de consultas de firma por adelantado y no recupera la clave privada. Los dispositivos que calculan internamente el hash de los mensajes quedan fuera del alcance de este ataque de firma.
