Sistemele de semnătură oarbă precum Privacy Pass, utilizate de Apple și Cloudflare, ar putea fi expuse
La pachet: Cercetătorii au găsit o modalitate de a falsifica anumite semnături RSA fără a lua în considerare cheia din spatele lor, contestând o presupunere de mult timp despre unul dintre cele mai vechi criptosisteme de cheie publică de pe internet. Atacul nu pare să amenințe implementările RSA cel mai frecvent utilizate astăzi, inclusiv cele protejate cu umplutură PKCS sau PSS. Dar descoperirile au atras atenția deoarece arată că ruperea semnăturilor RSA nu necesită întotdeauna recuperarea cheii private.
Tehnica este practică împotriva cheilor RSA de 1.024 de biți, care sunt deja depreciate. De asemenea, scade securitatea estimată a cheilor de 2.048 de biți și 4.096 de biți atunci când sunt utilizate în sisteme vulnerabile de semnătură oarbă.
„Dacă acest rezultat se menține în urma evaluării de către colegi, ar fi într-adevăr o descoperire conceptuală”, a declarat Karsten Nohl, expert în criptografie și șef al inovației la Allurity, pentru Ars Technica. „RSA este la fel de greu de spart pe cât este de a factora numere întregi mari, cel puțin așa ne-am gândit.
Securitatea RSA sa bazat în mod tradițional pe dificultatea de a factoriza un număr mare în cele două componente principale ale sale. Cheia publică conține acel număr mare, în timp ce cheia privată este derivată din factori. Viziunea standard a fost că un atacator trebuia să factorizeze numărul înainte de a crea o semnătură validă.
Noua cercetare ia o altă cale. Utilizează o versiune a algoritmului de sită de câmpuri numerice speciale, împreună cu un oracol disponibil în unele protocoale de semnătură oarbă. Un oracol este o caracteristică a sistemului care dezvăluie informații utile ca răspuns la solicitări specifice. Făcând un număr foarte mare de solicitări și procesând rezultatele, un atacator poate colecta suficiente informații pentru a genera o semnătură validă.
Factorizarea unei chei RSA de 1.024 de biți este estimată că necesită aproximativ 2^80 de operațiuni și între 500.000 și 1 milion de ani-nucleu CPU. Cercetătorii au spus că atacul lor de falsificare a folosit aproximativ 2^65 de operațiuni și 1.380 de ani-nucleu CPU. Ei au desfășurat munca pe parcursul mai multor luni utilizând un cluster CPU academic.
Nadia Heninger, profesor la Universitatea din California din San Diego și co-autor al cercetării, a spus că rezultatul se îndepărtează de ceea ce se așteptau criptografii.
„Criptografii au crezut că singura modalitate de a calcula semnăturile digitale RSA valide a fost să calculeze mai întâi cheia privată prin factoring și apoi să folosească cheia privată pentru a calcula semnăturile”, a spus ea. „Pentru RSA de 1.024 de biți, acest lucru s-a considerat a fi foarte scump, deși probabil fezabil dacă aveți resursele de calcul ale marilor companii de tehnologie sau ale NSA – de ordinul a zeci de milioane de dolari timp de calcul pentru o singură cheie.
Autorii estimează că atacul reduce securitatea efectivă a RSA pe 1.024 de biți la aproximativ 2^65 de operațiuni. Pentru cheile de 2.048 de biți și 4.096 de biți, ei pun cifrele la 2^90 și, respectiv, 2^119. Îndrumările de securitate de la Agenția Națională de Securitate, Institutul Național de Standarde și Tehnologie și Agenția Uniunii Europene pentru Securitatea Rețelelor și Informațiilor solicită cel puțin 128 de biți de securitate.
Echipa a spus că estimările sale s-ar putea îmbunătăți. Implementarea sa a fost scrisă manual și nu a folosit GPU-uri sau instrumente AI. Cercetătorii au spus că aceste instrumente vor reduce „aproape sigur” costurile viitoarelor atacuri.
Atacul este limitat la implementări cu semnătură oarbă, numite uneori RSA manual. Aceste sisteme permit unei părți să semneze informații fără a le vedea conținutul. Majoritatea implementărilor RSA nu funcționează în acest fel. Ei folosesc padding PKCS sau PSS, care modifică datele înainte de a fi criptate sau semnate și previne comportamentul pe care se bazează atacul.
O utilizare în lumea reală a semnăturilor oarbe este Privacy Pass, un protocol care permite utilizatorilor să demonstreze că sunt autorizați fără a-și expune identitatea. Apple, Cloudflare și alte organizații folosesc Privacy Pass. Cercetătorii estimează că atacarea unui astfel de sistem ar necesita solicitarea a 2^43 de jetoane de la un emitent.
Heninger a spus că volumul este mare, dar nu neapărat peste amploarea unui serviciu online major. „Sună (parcă) mult, dar este de același ordin de mărime al traficului de rețea pe care Cloudflare a spus public că îl gestionează în aproximativ o zi”.
Multe sisteme Privacy Pass își rotesc cheile în mod regulat, ceea ce îngreunează atacul prin scurtarea timpului disponibil pentru colectarea jetoanelor. Acest lucru nu elimină însă riscul.
