Группа исследователей из Калифорнийского университета в Сан-Диего и французского института Inria Nancy опубликовала научную работу, описывающую новый метод атаки на алгоритм RSA. Если результаты пройдут экспертную проверку, это может существенно изменить представление о безопасности данного типа шифрования, который долгое время считался практически неуязвимым для подобных манипуляций. Хотя отрасль постепенно переходит на алгоритмы ECC и постквантовое шифрование, RSA по-прежнему широко применяется в различных инфраструктурных решениях.
Оптимизация вычислительных затрат для взлома RSA
Ключевым аспектом исследования стало значительное снижение количества вычислительных операций, необходимых для подбора ключа. В работе авторы приводят следующие показатели: для ключей длиной 1024, 2048, 3072 и 4096 бит объем необходимых вычислений сокращается с 2^80, 2^112, 2^128 и 2^144 соответственно до 2^65, 2^90, 2^105 и 2^119. Несмотря на то что 2^65 операций по-прежнему остаются сложной задачей, этот уровень становится достижимым для государственных структур и организаций, располагающих значительными вычислительными ресурсами.
Ученые отмечают, что текущие алгоритмы, использованные в их экспериментах, далеки от идеала. В будущем показатели могут быть дополнительно улучшены с помощью оптимизации кода, внедрения ИИ-инструментов и задействования мощностей графических процессоров (GPU).
Ограничения и уязвимые системы
Важно подчеркнуть, что данный метод атаки эффективен только против «учебного» или «сырого» (textbook) варианта реализации RSA. Этот стандарт не используется в массовых веб-сертификатах, но активно применяется в специализированных службах. В список уязвимых сервисов попадают Cloudflare Privacy Pass, Apple iCloud Private Relay и система Private Cloud Compute. Также под угрозой оборудование и ПО, работающие с протоколом PKCS #11, включая смарт-карты, USB-токены, системы подписи кода, аппаратные модули безопасности (HSM) и доверенные платформенные модули (TPM).
Специфика практической реализации атаки
Для успешного взлома злоумышленнику требуется выполнить огромное количество запросов к «оракулу» — компоненту, который проводит вычисления с использованием закрытого ключа, не раскрывая его самого. В случае с учебным RSA атакующий может отправлять любые числа, собирая достаточное количество данных для проведения математических расчетов. На практике это подразумевает миллиарды обращений к серверу или аппаратному устройству. В ходе тестирования исследователи успешно применили метод на аппаратных модулях Thales Luna HSM.
Перспективы и риски кибербезопасности
Реализация атаки на практике остается сложной задачей, так как современные системы защиты, используемые компаниями вроде Apple или Cloudflare, предусматривают блокировку при подозрительной активности, например, при попытке отправить миллиарды запросов. Тем не менее, существует риск, что данные, собранные сегодня, могут быть расшифрованы в ближайшем будущем по мере совершенствования вычислительного оборудования. Результаты работы открывают путь для новых исследований, в ходе которых могут быть обнаружены дополнительные уязвимости, требующие пересмотра текущих подходов к защите данных в неконтролируемых или слабо защищенных ключевых инфраструктурах.
Технические подробности и реализация атаки
В основе предложенного метода лежит взаимодействие с «оракулом» — математической моделью, которая принимает число на вход, пропускает его через вычисления с использованием закрытого ключа и возвращает результат, не раскрывая сам ключ. Особенность учебной (textbook) версии RSA заключается в том, что она позволяет направлять оракулу произвольные числа. Именно эта возможность сбора данных позволяет атакующим провести математическую операцию, описанную в работе, а затем, задействовав значительные вычислительные мощности, восстановить данные, зашифрованные этим ключом.
Исследователи провели практическую проверку своей концепции на устройствах Thales Luna HSM, продемонстрировав применимость метода как к физическим аппаратным модулям, так и к облачным реализациям этих сервисов. Хотя авторы признают, что реализация атаки — задача крайне сложная, само по себе снижение «порога вхождения» вызывает серьезные опасения в индустрии кибербезопасности.
Барьеры и риски долгосрочного хранения данных
Несмотря на теоретическую эффективность, на пути злоумышленника стоят существенные препятствия. Выполнение миллиардов запросов к «живому» сервису практически гарантированно приведет к срабатыванию механизмов защиты, таких как автоматическая блокировка IP-адресов. Компании уровня Cloudflare или Apple имеют развитые системы мониторинга, способные выявить аномальную сетевую активность задолго до того, как будет собрано достаточное количество точек данных для взлома.
Однако угроза сохраняется для менее защищенных систем, особенно в сегменте управления ключами, где отсутствует строгий контроль. Более того, существует стратегия отложенной расшифровки: перехваченный сегодня зашифрованный трафик может быть расшифрован через несколько месяцев или лет, когда вычислительная мощность оборудования вырастет, а методы оптимизации атаки будут доведены до совершенства. Ученые подчеркивают, что их текущий алгоритм далеко не оптимален, и использование нейросетей или специализированных GPU-вычислений может радикально сократить время, необходимое для взлома. Это делает вопрос пересмотра безопасности систем, использующих «сырой» RSA, критически важным для специалистов по защите информации.
