Des agents d’IA travaillant sous supervision humaine ont permis à Google DeepMind d’identifier deux manières de réduire le coût d’attaque des cryptosystèmes RSA 1024 bits. Ces travaux, menés avec des cryptographes de l’UC San Diego et de l’Inria, indiquent que les attaques contre le RSA-1024 hérité exigent moins de calcul qu’on ne le supposait jusqu’ici.
- Des agents d’IA de Google DeepMind réduisent le coût d’attaque du RSA 1024 bits.
- Une falsification de signature demande désormais 3,5 fois moins de calcul processeur.
- La clé privée n’a pas été récupérée, et les clés 2048 bits restent sécurisées.
- Une seconde méthode promet une factorisation environ 30 fois moins coûteuse, mais elle n’a pas été mise en œuvre.
Le RSA est un système de chiffrement à clé publique, dont la solidité repose sur la difficulté de décomposer un grand nombre en facteurs premiers. Pushmeet Kohli, vice-président de Google DeepMind et directeur scientifique de Google Cloud, tient toutefois à relativiser la portée de ces résultats : « Dans la pratique, ces résultats ne concernent que les systèmes RSA 1024 bits obsolètes, et les protocoles de chiffrement modernes, qui utilisent presque universellement des clés de 2048 bits ou plus, restent sécurisés. »
Signatures numériques et bourrage
La première découverte porte sur les signatures numériques et sur le bourrage, ces données préétablies que de nombreux standards de signature ajoutent à un message pour le ramener à une taille de bloc fixe. Ce mécanisme était connu pour compliquer la falsification, mais son efficacité face à un attaquant pouvant choisir ce qui est signé restait floue. DeepMind a établi que tout dépend de la part du bloc signé que contrôle l’attaquant. Comme l’explique Pushmeet Kohli, « une fois qu’ils contrôlent environ la moitié du bloc ou plus, le bourrage n’apporte plus aucune protection ».
Selon l’article scientifique qui accompagne ces travaux, cela concerne le format PKCS#1 v1.5, utilisé par l’interface de signature PKCS#11 de dispositifs cryptographiques tels que les modules matériels de sécurité (HSM, pour « hardware security modules »).
Dans un test réalisé en environnement isolé, les agents ont relancé une attaque par falsification déjà publiée dans une étude académique, sur la même clé 1024 bits. Le temps de calcul processeur a été divisé par 3,5. La première falsification a nécessité 391 années-cœur de processeur, contre 1 380 dans l’étude d’origine.
Deux agents d’IA ont conçu, exécuté et corrigé le calcul de falsification en moins de quatre jours, avec environ 20 messages du chercheur humain, pour l’essentiel des approbations. La clé n’a pas été factorisée, une opération que la source estime à 500 000 à 1 million d’années-cœur de processeur. Lorsque l’attaquant contrôle une part plus réduite du bloc, par exemple un condensat (hash) de 32 octets, la falsification est plus difficile. DeepMind dit néanmoins avoir trouvé un algorithme qui, selon ses estimations théoriques, est environ 1 600 fois meilleur que la méthode précédente la plus efficace contre les clés 1024 bits.
Factorisation de plusieurs clés
La seconde découverte concerne la factorisation de nombreuses clés RSA de même taille. Un attaquant peut alors répartir le coût d’un unique calcul initial important sur l’ensemble de ces clés. Les agents de DeepMind ont élaboré un algorithme qui, en moyenne, rend la factorisation de chaque clé 1024 bits supplémentaire environ 30 fois moins coûteuse que la meilleure approche précédente. Cette estimation théorique suppose toutefois un calcul initial aussi coûteux que la factorisation d’une seule clé, et la méthode n’a pas été mise en œuvre.
Les chercheurs soulignent que l’attaque sur les signatures ne permet pas de récupérer la clé privée. Elle nécessite en amont environ 4 milliards de requêtes de signature et ne fonctionne pas contre les dispositifs qui hachent les messages en interne. « Ensemble, ces résultats montrent que, dans une nouvelle ère des mathématiques et du calcul assistés par l’IA, nous ne pouvons pas considérer la difficulté cryptographique comme une hypothèse fixe », conclut Pushmeet Kohli. Il ajoute : « Utiliser l’IA pour tester rigoureusement nos hypothèses antérieures permettra de garantir que le chiffrement moderne reste sécurisé. »
