Dünya on yıllardır RSA kriptosisteminin günlerinin sayılı olduğunu biliyor. Kuantum bilgisayarları pratik hale geldiğinde, bu tahminler 3 ila 20 yıl veya daha fazla arasında değişiyor, sağladığı temel güvenlik çökecek. Yeni bir araştırma, mevcut RSA güvenlik seviyesini kabul edilemez derecede düşük bir eşiğe indiren klasik bilgisayarlardan yararlanan yeni bir yöntem ortaya çıkardı.
Bulgunun yakın vadede pratikte çok az ya da hiç tehdidi yok, belki birkaç özel durumda hariç. Saldırı, kullanımdan kaldırılmış 1024 bit anahtar kullanımına karşı bile uygulansa, yöntem ulus-devletler veya devasa kaynaklara sahip şirketler dışındaki hemen herkesin başarabileceği hesaplama miktarından daha fazlasını gerektiriyor. Geniş şekilde kullanılan RSA uygulamaları da güvenli.
Nitekim araştırma kriptografçıları şaşırttı çünkü imza taklidi sunuyor, RSA anahtarlarını faktörize etmeden kırmanın yeni bir yolu. Aynı derecede önemli olan bu yeni yöntem, gerekli hesaplama kaynaklarını kat kat azaltıyor.
Artık ulaşılamaz değil
“Bu sonuç hakem incelemesinden geçerse, gerçekten kavramsal bir atılım olur,” Allurity’de yenilik başkanı ve kriptografi uzmanı Karsten Nohl bir röportajda belirtti. “RSA’yı kırmak büyük tamsayıları faktörize etmek kadar zordur, en azından öyle düşünüyorduk. Araştırmacı, anahtarını kırmadan RSA’yı pratik olarak kırabileceğini öne sürüyor.”
University of California at San Diego profesörü ve baş yazar Nadia Heninger ayrıntılandırdı:
Kriptografçılar, geçerli RSA dijital imzalarını hesaplamanın tek yolunun önce özel anahtarı faktörize ederek hesaplamak ve ardından imzaları hesaplamak için özel anahtarı kullanmak olduğuna inanıyordu. 1024 bit RSA için bunun çok pahalı olduğu düşünülüyordu, büyük teknoloji şirketlerinin veya NSA’nın hesaplama kaynaklarına sahip olsanız bile muhtemelen yapılabilir — tek bir anahtar için on milyonlarca dolarlık hesaplama süresinden bahsediliyor. 2048 bit RSA için ise tamamen ulaşılamaz olduğu düşünülüyordu.
Heninger ve diğer araştırmacıların tasarladığı anahtar taklit saldırısı, 1024 bit RSA’nın kırılmasını daha önce tahmin edilenden çok daha erken bir olasılığa getiriyor. 2048 ve 4096 bit anahtarlar için bile yöntem RSA güvenliğini kabul edilemez seviyelere indiriyor. National Security Agency, National Institute of Standards and Technology ve European Union Agency for Network and Information Security, herhangi bir kriptosistemin en az 128 bit veya daha fazla seviye sağlaması gerektiğini, yani gerekli işlemlerin 2 128’i aşması gerektiğini şart koşuyor.
Taklit saldırısı bu seviyeleri 1024, 2048 ve 4096 bit anahtarlar için sırasıyla 2 65, 2 90 ve 2 119’a düşürüyor. Bu seviyeler daha da düşebilir çünkü Heninger’ın ekibi tüm kodlamayı elle yaptı ve taklitleri gerçekleştirirken yapay zeka veya GPU kullanmadı. Araştırmacı, bu araçların güvenlik seviyelerini “neredeyse kesinlikle” daha da düşüreceğini söyledi.
Saldırı yalnızca RSA’nın kör-imza uygulamalarına karşı işliyor. Günümüzde kullanılan RSA’ların ezici çoğunluğu PKCS veya PSS dolgusu sağlıyor, bu biçim metin şifrelenmeden önce düz metne veri ekliyor. Bu, şifreli metnin deterministik olmasını engelliyor ve yan kanal saldırılarına karşı daha az savunmasız hale getiriyor. Yine de bazı gerçek dünya sistemleri kör-imza olarak da bilinen ders kitabı RSA’sını kullanmaya devam ediyor. En bilinen örnek, Heninger’ın söylediğine göre, kullanıcıların kimliğini açıklamadan kendilerini doğrulamalarına olanak tanıyan Privacy Pass protokolü. Privacy Pass, Apple ve Cloudflare’in de aralarında bulunduğu pek çok kurum tarafından kullanılıyor.
Privacy Pass’a yönelik bir saldırı, saldırganın Cloudflare, Apple veya başka bir kuruluşa ait bir sunucuyu tehlikeye atmasını ve 2 43 imza üretmesini gerektirir. Heninger, gereksinimin “çok gibi görünse de Cloudflare’in kamuya açık olarak belirttiği günlük ağ trafiğinin yaklaşık aynı büyüklük mertebesinde olduğunu” kaydetti. Çoğu Privacy Pass uygulaması anahtarları düzenli olarak döndürüyor, bu önlem saldırganın başarı şansını büyük ölçüde azaltıyor, ancak tamamen ortadan kaldırmıyor.
Teknik, 2007’de icat edilen sayı cisim eleği algoritmasının bir varyantını uyguluyor. Bu “özel” sayı cisim eleği, RSA ve bazı diğer kriptosistemlerdeki bir zayıflık olan “oracle”a karşı kullanılıyor; oracle belirli sorgulara evet-hayır yanıtı veriyor. Saldırganlar büyük miktarda işlem gerçekleştirerek şifreli metni çözmek için yeterli bilgiyi toplayabiliyor. (Yine, bu teknik PKCS veya PSS dolgusu kullanan RSA’ya karşı pratikte bir tehdit oluşturmuyor, çünkü bunlar oracle’ı ortadan kaldırıyor.) 1024 bit bir anahtarı faktörize etmek tahmini 2 80 işlem ve 500.000 ila 1 milyon CPU çekirdek-yılı gerektirirken, eleği kullanarak bir imza taklit etmek yalnızca daha önce belirtildiği gibi 2 65 işlem ve 1.380 çekirdek-yılı aldı.
Kağıdın yazarları ve diğer araştırmacılar yeni saldırının gerçek dünyada çok az tehdit oluşturduğunu vurguluyor. Bununla birlikte, ders kitabı RSA’sının tahmini güvenliğini ciddi şekilde düşürüyor ve bunu daha önce bilinmeyen bir şekilde yapıyor.
Kriptografçılar son yıllarda kuantum bilgisayar saldırılarına karşı savunmasız olmayan alternatif kriptosistemler geliştirmek için yoğun şekilde çalıştı. Yeni saldırı, kriptosistemden tamamen uzaklaşma aciliyetini daha da artıracak. Kağıt yazarları daha kolay anlaşılır bir açıklama burada sunuyor.
