Degli agenti di IA che lavorano sotto supervisione umana hanno permesso a Google DeepMind di identificare due modi per ridurre il costo di attacco dei crittosistemi RSA a 1024 bit. Questi lavori, condotti con crittografi dell’UC San Diego e dell’Inria, indicano che gli attacchi contro l’ereditato RSA-1024 richiedono meno calcolo di quanto si supponesse finora.
L’RSA è un sistema di cifratura a chiave pubblica, la cui solidità si basa sulla difficoltà di scomporre un grande numero in fattori primi. Pushmeet Kohli, vicepresidente di Google DeepMind e direttore scientifico di Google Cloud, tiene tuttavia a relativizzare la portata di questi risultati: «Nella pratica, questi risultati riguardano solo i sistemi RSA a 1024 bit obsoleti, e i protocolli di cifratura moderni, che utilizzano quasi universalmente chiavi di 2048 bit o più, rimangono sicuri.»
Firme digitali e padding
La prima scoperta riguarda le firme digitali e il padding, questi dati preimpostati che molti standard di firma aggiungono a un messaggio per portarlo a una dimensione di blocco fissa. Questo meccanismo era noto per complicare la falsificazione, ma la sua efficacia contro un attaccante in grado di scegliere ciò che viene firmato rimaneva poco chiara. DeepMind ha stabilito che tutto dipende dalla porzione del blocco firmato controllata dall’attaccante. Come spiega Pushmeet Kohli, «una volta che controllano circa la metà del blocco o più, il padding non offre più alcuna protezione».
Secondo l’articolo scientifico che accompagna questi lavori, ciò riguarda il formato PKCS#1 v1.5, utilizzato dall’interfaccia di firma PKCS#11 di dispositivi crittografici come i moduli hardware di sicurezza (HSM, per «hardware security modules»).
In un test realizzato in ambiente isolato, gli agenti hanno rilanciato un attacco per falsificazione già pubblicato in uno studio accademico, sulla stessa chiave a 1024 bit. Il tempo di calcolo della CPU è stato diviso per 3,5. La prima falsificazione ha richiesto 391 anni-CPU di processore, contro 1.380 nello studio originale.
Due agenti di IA hanno progettato, eseguito e corretto il calcolo della falsificazione in meno di quattro giorni, con circa 20 messaggi del ricercatore umano, per lo più approvazioni. La chiave non è stata fattorizzata, un’operazione che la fonte stima in 500.000 a 1 milione di anni-CPU di processore. Quando l’attaccante controlla una porzione più ridotta del blocco, ad esempio un hash di 32 byte, la falsificazione è più difficile. DeepMind dice comunque di aver trovato un algoritmo che, secondo le sue stime teoriche, è circa 1.600 volte migliore del metodo precedente più efficace contro le chiavi a 1024 bit.
Fattorizzazione di più chiavi
La seconda scoperta riguarda la fattorizzazione di molte chiavi RSA della stessa dimensione. Un attaccante può quindi ripartire il costo di un unico calcolo iniziale importante sull’insieme di queste chiavi. Gli agenti di DeepMind hanno elaborato un algoritmo che, in media, rende la fattorizzazione di ogni chiave a 1024 bit aggiuntiva circa 30 volte meno costosa del miglior approccio precedente. Questa stima teorica presuppone tuttavia un calcolo iniziale tanto costoso quanto la fattorizzazione di una singola chiave, e il metodo non è stato implementato.
I ricercatori sottolineano che l’attacco sulle firme non permette di recuperare la chiave privata. Richiede in anticipo circa 4 miliardi di richieste di firma e non funziona contro i dispositivi che eseguono l’hashing dei messaggi internamente. «Insieme, questi risultati mostrano che, in una nuova era della matematica e del calcolo assistiti dall’IA, non possiamo considerare la difficoltà crittografica come un’ipotesi fissa», conclude Pushmeet Kohli. Aggiunge: «Utilizzare l’IA per testare rigorosamente le nostre ipotesi precedenti permetterà di garantire che la cifratura moderna rimanga sicura.»
