RSA ma nowy problem. Naukowcy pokazali, jak fałszować podpisy bez faktoryzacji klucza

Przez lata bezpieczeństwo RSA wiązano przede wszystkim z trudnością rozkładu dużych liczb na czynniki pierwsze. Zespół badaczy z University of California San Diego pokazał jednak, że w określonym modelu zagrożenia można uzyskać możliwość fałszowania podpisów bez odzyskiwania klucza prywatnego i bez faktoryzowania modułu RSA. Atak został praktycznie zademonstrowany dla klucza 1024-bitowego.

Nie oznacza to, że współczesne wdrożenia RSA nagle przestały być bezpieczne. Atak wymaga dostępu do specyficznego rodzaju interfejsu kryptograficznego, a większość popularnych zastosowań RSA takiego interfejsu nie udostępnia. Wyniki są jednak istotne, ponieważ pokazują, że szacunki bezpieczeństwa oparte wyłącznie na koszcie faktoryzacji mogą być w niektórych zastosowaniach zbyt optymistyczne.

Badacze nie złamali RSA w tradycyjny sposób

Praca „Forging 1024-bit RSA signatures in nearly SNFS time” została opublikowana we wrześniu 2026 roku przez Laurę Sheę, Mira Hallera, Adama Suhla, Nadię Heninger i Emmanuela Thomé. Zespół zaimplementował pomysł opisany jeszcze w 2007 roku przez Antoine'a Joux, Davida Naccache'a i Emmanuela Thomé.

Istotą eksperymentu nie było rozłożenie modułu RSA na czynniki pierwsze. Badacze wykorzystali wariant algorytmu Number Field Sieve, określany jako Special Number Field Sieve, w połączeniu z dostępem do tzw. surowego, nieopakowanego mechanizmu podpisującego RSA.

W takim modelu atakujący może przez pewien czas wysyłać odpowiednio przygotowane żądania do urządzenia lub usługi, która wykonuje operacje RSA. Zebrane odpowiedzi pozwalają następnie przeprowadzić kosztowne obliczenia i uzyskać możliwość tworzenia podpisów bez dalszego korzystania z urządzenia.

To ważna różnica. Atakujący nie poznaje matematycznie samego klucza prywatnego, ale uzyskuje funkcjonalność, która z punktu widzenia możliwości fałszowania podpisów może być do niego porównywalna.

Eksperyment trwał pięć miesięcy

Najbardziej konkretnym wynikiem pracy jest demonstracja dla RSA-1024. Obliczenia wymagały łącznie około 1380 lat czasu procesora, rozłożonych na pięć miesięcy pracy klastra. Badacze wykonali również około 2³² zapytań do kryptograficznego „orakla”, czyli interfejsu zwracającego wyniki operacji RSA.

Większość kosztu przypadała na etap wstępnych obliczeń. Autorzy podają, że po jego wykonaniu pojedyncze fałszerstwo podpisu wymagało około 180 lat czasu procesora.

Dla porównania zespół szacuje koszt klasycznej faktoryzacji 1024-bitowego modułu RSA na około 500 tys. do miliona lat czasu procesora. Nowa metoda nie sprawia więc, że złamanie RSA staje się banalne. Pokazuje jednak, że w określonym modelu zagrożenia można osiągnąć istotnie niższy koszt niż przez bezpośrednie faktoryzowanie klucza.

To nie jest jeszcze koniec RSA

Najważniejszy wniosek z publikacji jest bardziej precyzyjny niż nagłówki sugerujące całkowite złamanie RSA.

Badacze pokazali praktycznie, że istnieje sposób wykorzystania surowego orakla RSA do stworzenia fałszywych podpisów bez faktoryzowania klucza 1024-bitowego. Ich wynik podważa założenie, że koszt bezpieczeństwa RSA można zawsze utożsamiać z kosztem faktoryzacji modułu.

Jednocześnie atak pozostaje bardzo kosztowny obliczeniowo, wymaga specyficznego dostępu do operacji RSA i nie dotyczy wprost większości współczesnych zastosowań RSA z odpowiednim paddingiem. Autorzy sami stwierdzają, że nie ma obecnie potrzeby natychmiastowego wycofywania RSA z większości systemów tylko z powodu tego wyniku.