Le organizzazioni che usano ancora RSA a 1024 bit affrontano barriere computazionali più basse per alcuni attacchi, secondo quanto afferma Google DeepMind in una ricerca riportata da SecurityWeek il 9 novembre. Agenti IA supervisionati da esseri umani hanno contribuito a sviluppare miglioramenti nella falsificazione delle firme e nella fattorizzazione delle chiavi, sebbene i risultati abbiano prerequisiti rilevanti e includano algoritmi valutati solo sul piano teorico.
Il lavoro ha coinvolto crittografi dell'UC San Diego e di Inria. Il suo ambito riguarda i sistemi RSA-1024 obsoleti, ha dichiarato Pushmeet Kohli, vicepresidente di Google DeepMind e chief scientist di Google Cloud. Secondo Kohli, i protocolli di cifratura moderni, che quasi universalmente usano chiavi di almeno 2048 bit, restano sicuri.
Due strade per ridurre il calcolo
Un risultato riguarda il costo della fattorizzazione di più chiavi RSA di uguale dimensione, cioè l'individuazione dei fattori matematici alla base di quelle chiavi. L'algoritmo proposto distribuisce un calcolo iniziale oneroso sui bersagli successivi. DeepMind stima che, in media, ogni chiave aggiuntiva a 1024 bit costerebbe circa 30 volte meno da fattorizzare rispetto all'approccio migliore precedente.
Questa stima presuppone un lavoro iniziale equivalente alla fattorizzazione di una chiave. L'algoritmo non è ancora stato implementato.
L'altro risultato riguarda la falsificazione delle firme digitali. Esamina il padding, cioè i dati predefiniti usati per riempire un messaggio fino a una dimensione di blocco fissa. I ricercatori sapevano già che il padding poteva ostacolare la falsificazione; la questione aperta era quanto esso aiutasse quando gli attaccanti potevano scegliere il contenuto da firmare.
La risposta di DeepMind dipende dalla porzione del blocco controllata dall'attaccante. Secondo Kohli, il padding non offre alcuna protezione quando tale porzione raggiunge circa metà del blocco o più. SecurityWeek ha riferito che l'articolo di accompagnamento applica questo risultato a PKCS#1 v1.5, un formato usato tramite l'interfaccia di firma PKCS#11 sui dispositivi crittografici, inclusi gli hardware security module (HSM).
Una falsificazione dimostrata, con prerequisiti impegnativi
Per verificare l'approccio di falsificazione in un ambiente isolato, gli agenti hanno rivisitato un precedente attacco accademico che usava la stessa chiave a 1024 bit. La produzione della prima falsificazione ha richiesto 391 core-year di CPU, contro i 1.380 dello studio precedente, con una riduzione di 3,5 volte. Un core-year rappresenta il lavoro di un core di processore per un anno; non è la durata effettiva dell'esperimento.
Due agenti hanno pianificato, eseguito e corretto il calcolo in meno di quattro giorni. Un ricercatore umano ha inviato circa venti messaggi, per lo più approvazioni. L'esperimento non ha fattorizzato la chiave, un'operazione stimata richiedere da 500.000 a un milione di core-year.
Con il controllo di una porzione più piccola del blocco, ad esempio un hash di 32 byte, cioè una rappresentazione di lunghezza fissa di un messaggio, la falsificazione diventa più difficile. DeepMind stima comunque che un altro algoritmo offra un miglioramento teorico di circa 1.600 volte rispetto al metodo migliore precedente per le chiavi a 1024 bit.
Kohli ha presentato la ricerca come un motivo per usare l'IA per mettere in discussione le ipotesi sulla difficoltà degli attacchi crittografici. Per chi valuta il risultato sulle firme, sono i prerequisiti dei ricercatori a determinarne la rilevanza: l'attacco richiede circa 4 miliardi di richieste di firma in anticipo e non recupera la chiave privata. I dispositivi che calcolano internamente l'hash dei messaggi sono esclusi dall'ambito di questo attacco alle firme.
