Agentes de IA a trabalhar sob supervisão humana permitiram à Google DeepMind identificar duas formas de reduzir o custo de ataque aos criptossistemas RSA de 1024 bits. Este trabalho, realizado com criptógrafos da UC San Diego e do Inria, indica que os ataques ao RSA-1024 legado exigem menos capacidade de cálculo do que se supunha até agora.
- Agentes de IA da Google DeepMind tornam os ataques ao RSA de 1024 bits menos dispendiosos.
- O preenchimento deixa de proteger quando o atacante controla cerca de metade do bloco.
- Num teste, o tempo de cálculo foi dividido por 3,5.
- Os protocolos modernos de 2048 bits continuam seguros.
O RSA é um sistema de cifragem de chave pública, cuja robustez assenta na dificuldade de decompor um número grande em fatores primos. Pushmeet Kohli, vice-presidente da Google DeepMind e diretor científico da Google Cloud, pretende, no entanto, relativizar o alcance destes resultados: « Na prática, estes resultados dizem respeito apenas aos sistemas RSA de 1024 bits obsoletos, e os protocolos de cifragem modernos, que usam quase universalmente chaves de 2048 bits ou mais, mantêm-se seguros. »
Assinaturas digitais e preenchimento
A primeira descoberta diz respeito às assinaturas digitais e ao preenchimento (padding), estes dados pré-estabelecidos que muitos padrões de assinatura adicionam a uma mensagem para a levar a um tamanho de bloco fixo. Este mecanismo era conhecido por complicar a falsificação, mas a sua eficácia face a um atacante que pudesse escolher o que é assinado permanecia pouco clara. A DeepMind estabeleceu que tudo depende da parte do bloco assinado que o atacante controla. Como explica Pushmeet Kohli, « assim que controlam cerca de metade do bloco ou mais, o preenchimento deixa de oferecer qualquer proteção ».
De acordo com o artigo científico que acompanha este trabalho, isto diz respeito ao formato PKCS#1 v1.5, usado pela interface de assinatura PKCS#11 de dispositivos criptográficos como os módulos de segurança de hardware (HSM, do inglês « hardware security modules »).
Num teste realizado em ambiente isolado, os agentes relançaram um ataque por falsificação já publicado num estudo académico, sobre a mesma chave de 1024 bits. O tempo de cálculo do processador foi dividido por 3,5. A primeira falsificação exigiu 391 anos-núcleo de processador, contra 1 380 no estudo original.
Dois agentes de IA conceberam, executaram e corrigiram o cálculo de falsificação em menos de quatro dias, com cerca de 20 mensagens do investigador humano, essencialmente aprovações. A chave não foi fatorizada, uma operação que a fonte estima em 500 000 a 1 milhão de anos-núcleo de processador. Quando o atacante controla uma parte mais reduzida do bloco, por exemplo um resumo (hash) de 32 bytes, a falsificação é mais difícil. A DeepMind afirma, no entanto, ter encontrado um algoritmo que, segundo as suas estimativas teóricas, é cerca de 1 600 vezes melhor do que o método anterior mais eficaz contra chaves de 1024 bits.
Fatorização de várias chaves
A segunda descoberta diz respeito à fatorização de muitas chaves RSA do mesmo tamanho. Um atacante pode então repartir o custo de um único cálculo inicial significativo por todas essas chaves. Os agentes da DeepMind elaboraram um algoritmo que, em média, torna a fatorização de cada chave de 1024 bits adicional cerca de 30 vezes menos dispendiosa do que a melhor abordagem anterior. Esta estimativa teórica pressupõe, no entanto, um cálculo inicial tão dispendioso quanto a fatorização de uma única chave, e o método não foi implementado.
Os investigadores sublinham que o ataque às assinaturas não permite recuperar a chave privada. Exige a montante cerca de 4 mil milhões de pedidos de assinatura e não funciona contra dispositivos que fazem o resumo (hash) das mensagens internamente. « Em conjunto, estes resultados mostram que, numa nova era da matemática e do cálculo assistidos por IA, não podemos considerar a dificuldade criptográfica como uma hipótese fixa », conclui Pushmeet Kohli. E acrescenta: « Usar a IA para testar rigorosamente as nossas hipóteses anteriores permitirá garantir que a cifragem moderna se mantém segura. »
