研究チームは、巨大な整数の素因数分解という従来の要件を回避し、RSAデジタル署名を偽造する新しい手法を発表しました。RSA暗号システムは長年、量子コンピュータに対して脆弱であることが知られてきましたが、この新しいアプローチは古典的なコンピューティングリソースを活用し、素因数分解に基づく攻撃で以前に見積もられていたコストの数分の一で署名偽造を実現します。数体ふるい法の変種を活用するこの技術により、1024ビットRSA鍵のセキュリティレベルは約2^65回の演算まで低下します。2048ビットおよび4096ビットの鍵については、セキュリティレベルがそれぞれ2^90回および2^119回まで低下します。この攻撃は、すべてのRSA実装を汎用的に破るものではありません。これは、攻撃者が暗号オラクル（クエリされた入力に対してRSA演算を実行するシステム）と対話できる、「ブラインド署名」または「教科書的」RSAを使用するシステムを具体的に標的としています。そのようなオラクルにクエリを送信することで、攻撃者は秘密鍵自体を復元することなく、署名を偽造するのに十分な情報を収集できます。現在広く使用されている最新のRSA実装のほとんどは、PKCSやPSSのような必須のパディングスキームによってこの特定の脆弱性から保護されており、攻撃に必要な決定論的な暗号文の挙動を防いでいます。しかし、CloudflareやAppleなどの組織が匿名認証に使用しているPrivacy Passのような特定のプロトコルは、ブラインド署名に依存しており、影響を受ける可能性があります。このようなシステムへの攻撃には、2^43回程度の膨大な数のクエリをオラクルに送信する必要があり、研究者はこれが主要なインフラストラクチャプロバイダーが処理する1日のトラフィック量に匹敵すると指摘しています。研究者らは、この攻撃が直ちに現実世界で大きな脅威となる可能性は低いと強調していますが、RSAベースのブラインド署名スキームにおけるこれまで未知であった弱点を浮き彫りにし、より堅牢で耐量子性のある暗号システムへの移行の緊急性を強調しています。
この記事では、従来の整数素因数分解の要件を回避してRSA署名を偽造し、脆弱なプロトコルのセキュリティチェーンを事実上破壊する新しい暗号攻撃について論じている。