Forscher knacken RSA, ohne den Schlüssel zu faktorisieren

Jahrzehntelang gingen Kryptografen davon aus, dass die einzige Schwachstelle der RSA-Verschlüsselung die Faktorisierung des Schlüssels ist. Wie Ars Technica berichtet, hat ein Forschungsteam unter der Leitung von Nadia Heninger von der UC San Diego eine neue Methode entwickelt, die diese Annahme widerlegt und gefälschte RSA-Signaturen mit deutlich weniger Rechenressourcen erzeugen kann.

Wie funktioniert die Methode?

Die neue Methode nutzt eine Variante des 2007 beschriebenen Algorithmus „Special Number Field Sieve“ (spezielles Zahlkörpersieb), um eine Schwachstelle (ein „Orakel“) in RSA und ähnlichen Systemen auszunutzen, und erzeugt durch eine große Zahl von Operationen eine gültige gefälschte Signatur, ohne den Schlüssel je zu faktorisieren. Der Angriff funktioniert nur bei älteren RSA-Implementierungen, die als „Blindsignatur“-RSA (Textbook-RSA) bekannt sind und kein PKCS- oder PSS-Padding verwenden; da die große Mehrheit der heute eingesetzten RSA-Implementierungen auf diese Padding-Verfahren setzt, ist sie nicht direkt betroffen.

Welche Schlüssellängen sind betroffen?

Laut der Studie senkt die Methode das Sicherheitsniveau von 1024-, 2048- und 4096-Bit-RSA-Schlüsseln weit unter die Schwelle von 128 Bit, die NSA, NIST und die Agentur der Europäischen Union für Cybersicherheit (ENISA) für notwendig halten. Bei 1024-Bit-Schlüsseln wird der Angriff dadurch deutlich zugänglicher als bisher angenommen; bei 2048- und 4096-Bit-Schlüsseln sinkt das Sicherheitsniveau unter die akzeptable Grenze. Die Forscher weisen darauf hin, dass das Team die Berechnungen von Hand ohne KI oder GPUs durchgeführt hat und dass diese Werkzeuge das Sicherheitsniveau wahrscheinlich noch weiter senken würden.

Besteht ein reales Risiko?

Kurzfristig nicht. Für den Angriff muss ein Server kompromittiert werden, der Blindsignaturen verwendet (etwa von Apple oder Cloudflare), und eine große Zahl von Signaturen erzeugt werden; da die meisten Privacy-Pass-Implementierungen ihre Schlüssel regelmäßig wechseln, sinkt das Risiko weiter. Die Forscher und externe Fachleute betonen, dass der Fund kurzfristig keine praktische Bedrohung darstellt, die Dringlichkeit eines Umstiegs von RSA auf Post-Quanten-Kryptografie aber erhöht.

Was sollten Softwareteams tun?

• Erfassen Sie Dienste, die eigene Signaturverfahren für Authentifizierung oder anonymen Zugang verwenden; nutzt eine Komponente RSA mit Blindsignaturen, planen Sie den Umstieg auf PSS-/PKCS-Padding oder auf Signaturen mit elliptischen Kurven.
• Standardmäßige TLS-Zertifikate und die meisten Signaturabläufe im Web und bei APIs verwenden PKCS- oder PSS-Padding und sind daher von diesem Angriff nicht direkt betroffen; Vorrang haben eigene oder anonyme Authentifizierungsprotokolle.
• Setzen Sie für Systeme, die langfristige Daten- und Signatursicherheit benötigen, schon jetzt einen Migrationsplan für Post-Quanten-Kryptografie auf die Agenda; dieser Fund ist eine Warnung, die die Dringlichkeit dieses Schritts erhöht.