Исследователи показали атаку на RSA, которая не требует ни факторизации модуля, ни восстановления приватного ключа. Это не массовая угроза для всех пользователей, но для некоторых сервисов и криптосистем она меняет правила игры.

Речь идёт прежде всего о сценариях, где RSA используют для подписи без привычной защиты паддингом. Если такая схема встречается в корпоративной инфраструктуре, в аппаратных модулях или в старых реализациях, риск уже нельзя считать теоретическим.

Что именно произошло

RSA много лет считали стойким ровно до того момента, пока атакующий не сможет разложить большой модуль на простые множители. Новая работа ломает это представление: подделка подписи, как выясняется, возможна и без классической факторизации.

Авторы атаки опираются на вариант Number field sieve, но используют его не для прямого взлома ключа, а для подготовки к офлайн-подделке подписей. На практике им нужен временный доступ к оракулу — сервису, который выполняет RSA-операции с приватным ключом над заданными данными без паддинга.

Именно здесь кроется главное отличие. Атакующему не надо красть ключ целиком — достаточно собрать массив запросов к такому интерфейсу, а затем использовать вычисленные данные для подделки подписей уже без доступа к системе.

Как это работает технически

Схема выглядит так: злоумышленник обращается к «сырой» RSA-функции, получает отклики на множество запросов и проводит долгую подготовительную фазу. После этого он может выпускать поддельные подписи офлайн, не спрашивая систему снова.

По данным исследователей, для 1024-битного RSA атака укладывается примерно в 2^65 операций. Авторы утверждают, что смогли проверить метод на академическом CPU-кластере за несколько месяцев, а суммарная вычислительная нагрузка соответствовала примерно 1380 годам непрерывной работы одного ядра.

Для сравнения, привычная факторизация такого же ключа оценивается примерно в 2^80 операций и потребовала бы ресурсов на порядки больше. Для 2048- и 4096-битных ключей стойкость тоже проседает — до уровней, которые уже не дотягивают до современных рекомендаций по криптозащите.

Если вам интересно, как похожие инциденты бьют по привычным цифровым сервисам, посмотрите наш разбор типичных точек атаки в кибербезопасности и материал про точечные атаки на уязвимые компоненты.

Почему это опасно

Сам по себе RSA никуда не исчезает, но уязвимыми оказываются конкретные реализации. Проблема не в математике как таковой, а в том, как именно сервис выдаёт операции подписи и кому он их выдаёт.

Авторы исследования отдельно отмечают: если интерфейс позволяет работать с «сырым» RSA без паддинга, атакующий может собрать достаточно материала для последующей подделки. Это касается, например, некоторых схем слепой RSA-подписи и отдельных конфигураций аппаратных криптомодулей.

В то же время современные схемы вроде RSA-PSS и PKCS#1 v1.5 намного лучше защищены, потому что не дают такого удобного оракула. Поэтому исследователи и называют атаку серьёзной, но не универсальной.

Как понять, касается ли это вас

Обычному пользователю дома — почти наверняка нет. Но если вы отвечаете за серверы, подпись документов, аппаратные модули или внутренние сервисы аутентификации, проверить конфигурацию стоит уже сейчас.

Особенно насторожить должны старые интеграции, самописные криптосервисы и решения, где подпись строится вокруг прямых RSA-операций без современных схем защиты. В корпоративной среде именно такие узкие места чаще всего и становятся слабым звеном.

Если у вас есть доступ к админке, стоит посмотреть, какие алгоритмы используются для подписи, есть ли паддинг и не выдаёт ли система слишком много однотипных RSA-операций наружу. Когда речь идёт о защите учётных записей, полезно также свериться с базовыми мерами из материала про пароли и 2FA.

Что делать уже сейчас

Первый шаг — инвентаризировать, где в инфраструктуре вообще используется RSA. Второй — проверить, не завязаны ли критические процессы на устаревшие схемы подписи и прямые RSA-операции.

Дальше важно сузить поверхность атаки: ограничить доступ к криптографическим интерфейсам, убрать лишние запросы к модулям подписи и по возможности перейти на современные схемы, где это ещё не сделано. Для обмена файлами и входа в корпоративные сервисы полезно оценить, не пора ли пересмотреть настройки удалённого доступа и внешних подключений через [инструмент для защищённого соединения]https://freedome.space.

Практический чек-лист

  • Проверьте, где в компании используется RSA и для чего именно — шифрование, подпись, аутентификация, аппаратные модули.
  • Убедитесь, что сервисы подписи не работают с «сырым» RSA без паддинга.
  • Пересмотрите старые интеграции и самописные криптосервисы на предмет устаревших схем.
  • Ограничьте доступ к интерфейсам, которые выполняют операции с приватным ключом.
  • Проверьте, используют ли ваши системы современные схемы подписи вроде RSA-PSS.
  • Для удалённой работы с корпоративными ресурсами оцените дополнительные меры приватности в открытых сетях.
  • Назначьте отдельную проверку для аппаратных криптомодулей и внутренних сервисов аутентификации.
Поделиться: