RSA-Angriff: Forscher fälschen digitale Signaturen ohne Faktorisierung

RSA-Angriff ohne Faktorisierung: Forscher zeigen, wie sich digitale Signaturen fälschen lassen. Moderne RSA-Systeme sind vorerst geschützt.

RSA: Sicherheit durch schwer lösbare Mathematik

RSA-Angriff umgeht die klassische Faktorisierung

1024-Bit-RSA bereits praktisch angegriffen

Konkretes Einsatzgebiet: Privacy Pass

Ein Forschungsteam von der University of California in Zusammenarbeit mit dem französischen Forschungsinstitut Inria hat einen neuen Angriff auf RSA demonstriert. Dabei lassen sich digitale RSA-Signaturen bei Blind-Signature-Verfahren auf Basis von Textbook RSA auch ohne vorherige Faktorisierung fälschen. Unter Faktorisierung ist die Zerlegung des öffentlichen RSA-Modulus in seine beiden geheimen Primfaktoren zu verstehen. Für moderne Implementierungen besteht derzeit keine akute Gefahr. Problematisch sind vielmehr ältere RSA-Verfahren, die einem Angreifer Zugriff auf ein geeignetes Signatur-Oracle ermöglichen.

RSA: Sicherheit durch schwer lösbare Mathematik

Das RSA-Kryptosystem zählt bereits seit Jahrzehnten zu den bekanntesten Verfahren der digitalen Kryptografie. Es kommt sowohl zur Verschlüsselung als auch zur Erstellung digitaler Signaturen zum Einsatz. RSA arbeitet mit einem Schlüsselpaar aus öffentlichem und privatem Schlüssel. Der öffentliche Schlüssel kann etwa zum Verschlüsseln von Daten und zur Überprüfung von Signaturen dienen. Der private Schlüssel wird zum Entschlüsseln und Signieren benötigt.

Der RSA-Modulus ist eine sehr große Zahl, die bei der Erzeugung eines RSA-Schlüssels aus zwei miteinander multiplizierten Primzahlen entsteht. Er ist Bestandteil des öffentlichen Schlüssels und damit für jeden einsehbar. Die beiden ursprünglichen Primzahlen bleiben dagegen geheim. Will ein Angreifer den privaten Schlüssel auf herkömmlichem Weg aus dem öffentlichen Schlüssel ableiten, müsste er diese Primzahlen zurückgewinnen. Die Primfaktorzerlegung, auch Faktorisierung genannt, ist bei großen Zahlen extrem aufwändig. Für ausreichend große Schlüssel gilt das mit klassischer Rechenleistung als praktisch nicht durchführbar. Auf dieser Schwierigkeit beruht im Wesentlichen die Sicherheit von RSA. Benannt ist das Verfahren nach seinen Entwicklern Ron Rivest, Adi Shamir und Leonard Adleman, die RSA 1977 veröffentlichten.

Noch sind Quantencomputer nicht leistungsfähig genug, um RSA auf diesem Weg praktisch zu brechen. Ein entsprechend leistungsfähiges System könnte jedoch die Faktorisierung großer Zahlen drastisch beschleunigen.

Ein Forschungsteam um Laura Shea, Miro Haller, Adam Suhl und Nadia Heninger von der University of California, San Diego sowie Emmanuel Thomé vom französischen Forschungsinstitut Inria hat nun einen anderen gangbaren Weg aufgezeigt. Ihr........

© Tarnkappe