一组研究人员引入了一种伪造 RSA 数字签名的新方法，该方法绕过了传统上对大整数进行因数分解的要求。尽管 RSA 密码系统长期以来一直被认为容易受到量子计算的影响，但这种新方法利用经典计算资源，以远低于此前基于因数分解攻击所预估的成本实现了签名伪造。该技术利用了数域筛算法的一种变体，将 1024 位 RSA 密钥的安全性降低至约 2^65 次运算。对于 2048 位和 4096 位密钥，其安全性分别降低至 2^90 和 2^119 次运算。此次攻击并非针对所有 RSA 实现的通用破解。它专门针对使用“盲签名”或“教科书式”RSA 的系统，即攻击者可以与密码学预言机（一种对查询输入执行 RSA 操作的系统）进行交互。通过查询此类预言机，攻击者无需恢复私钥本身即可收集足够的信息来伪造签名。大多数现代且广泛使用的 RSA 实现通过 PKCS 或 PSS 等强制填充方案来防范这种特定漏洞，这些方案阻止了攻击所需的确定性密文行为。然而，某些协议（例如 Cloudflare 和 Apple 等组织用于匿名身份验证的 Privacy Pass）依赖于盲签名，因此可能存在风险。对此类系统的攻击需要向预言机发送海量查询，数量级约为 2^43 次请求，研究人员指出这与主要基础设施提供商处理的日常流量相当。虽然研究人员强调该攻击目前几乎不会构成现实威胁，但它凸显了基于 RSA 的盲签名方案中一个此前未知的弱点，并强调了转向更稳健、抗量子密码系统的紧迫性。
本文讨论了一种绕过传统整数分解要求以伪造 RSA 签名的新型密码学攻击，该攻击有效地破坏了易受攻击协议的安全链。