Investigadores logran romper RSA sin factorizar la clave

Durante décadas, los criptógrafos creyeron que el único punto débil del cifrado RSA era la factorización de la clave. Según informa Ars Technica, un equipo de investigación dirigido por Nadia Heninger, de UC San Diego, ha desarrollado un nuevo método que desmonta esta suposición y puede generar firmas RSA falsificadas con muchos menos recursos de computación.

¿Cómo funciona el método?

El nuevo método utiliza una variante del algoritmo de «criba especial del cuerpo de números» descrito en 2007 para atacar una debilidad (un «oráculo») de RSA y de sistemas similares y, mediante un gran número de operaciones, produce una firma falsificada válida sin llegar a factorizar la clave. El ataque solo funciona en implementaciones antiguas conocidas como RSA de «firma ciega» (textbook), que no usan relleno PKCS ni PSS; como la gran mayoría del RSA que se utiliza hoy se basa en estos métodos de relleno, no se ve afectada directamente.

¿Qué tamaños de clave se ven afectados?

Según la investigación, el método reduce el nivel de seguridad de las claves RSA de 1024, 2048 y 4096 bits muy por debajo del umbral de 128 bits que la NSA, el NIST y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) consideran necesario. En las claves de 1024 bits, esto hace que el ataque sea mucho más accesible de lo que se estimaba; en las de 2048 y 4096 bits, el nivel de seguridad cae por debajo del límite aceptable. Los investigadores señalan que el equipo hizo los cálculos a mano, sin recurrir a la IA ni a GPU, y que estas herramientas probablemente reducirían aún más el nivel de seguridad.

¿Existe un riesgo real?

No a corto plazo. Para llevar a cabo el ataque es necesario comprometer un servidor que utilice firmas ciegas (como los de Apple o Cloudflare) y generar un gran número de firmas; como la mayoría de las implementaciones de Privacy Pass rotan sus claves con regularidad, el riesgo se reduce todavía más. Los investigadores y expertos externos subrayan que el hallazgo no supone una amenaza práctica a corto plazo, pero aumenta la urgencia de pasar de RSA a la criptografía poscuántica.

¿Qué deben hacer los equipos de software?

• Haga un inventario de los servicios que usan esquemas de firma personalizados para la autenticación o el acceso anónimo; si algún componente utiliza RSA de firma ciega, planifique el paso a relleno PSS/PKCS o a firmas de curva elíptica.
• Los certificados TLS estándar y la mayoría de los flujos de firma web y de API usan relleno PKCS o PSS, por lo que este ataque no les afecta directamente; la prioridad son los protocolos de autenticación personalizados o anónimos.
• En los sistemas que necesitan seguridad de datos y firmas a largo plazo, incluya ya en la agenda un plan de migración a la criptografía poscuántica; este hallazgo es una advertencia que se suma a la urgencia de ese paso.