L’algorithme de chiffrement RSA pourrait être encore plus menacé aujourd’hui, grâce à des chercheurs de l’Université de Californie à San Diego et de l’Inria Nancy.
Cyber Security News a rapporté qu’une nouvelle attaque de falsification de signature, décrite dans le mémoire des chercheurs, utilisait une approche novatrice pour casser le chiffrement RSA à 1 024 bits sans réaliser de factorisation (trouver les deux nombres premiers utilisés pour créer une clé). Les chercheurs ont pu briser le chiffrement à l’aide d’un cluster CPU universitaire qui a consacré 1 380 années de CPU à ce problème sur une période de cinq mois. Le factoring d’une clé RSA à 1 024 bits aurait, selon Cyber Security News, été estimé auparavant entre 500 000 et 1 000 000 d’années de calcul CPU.
RSA n’est pas résistant à l’informatique quantique, ce qui signifie potentiellement que tout ce qui est chiffré avec RSA aujourd’hui pourrait être cassé par de futurs attaquants disposant d’un ordinateur quantique. (La cible la plus évidente serait un État-nation.)
Ars Technica a rapporté que ces résultats placent même des clés de 2 048 bits et 4 096 bits à des niveaux de sécurité inacceptables selon les normes publiées par la National Security Agency, le National Institute of Standards and Technology (NIST), et l’agence européenne principale en matière de cybersécurité. Le NIST prévoit déjà de déprécier RSA d’ici 2030 et de l’éliminer d’ici le milieu de la décennie prochaine.
« Si ce résultat se confirme lors de l’examen par les pairs, ce serait en effet une avancée conceptuelle majeure », a déclaré Karsten Nohl, responsable de l’innovation et cryptographe chez Allurity, à Ars Technica. « RSA est aussi difficile à casser que de factoriser de grands entiers, du moins c’était notre conviction. »
La technique repose sur une variante de l’algorithme du crible des nombres sur des corps (GNFS), que Cyber Security News a noté être proposée pour la première fois en 2007, mais que les chercheurs n’avaient pas encore exécutée à une telle échelle jusqu’à présent.
Ce n’est pas une menace à court terme. Au-delà de l’immense capacité de calcul requise, la technique ne semble pas efficace contre RSA utilisant le rembourrage PKCS#1 v1.5 ou le rembourrage PSS. Ces techniques encapsulent des données supplémentaires dans les communications chiffrées pour les rendre plus difficiles à casser, et elles sont largement (mais pas universellement) déployées aujourd’hui.
La professeure Nadia Heninger de l’UC San Diego et coauteure a déclaré à Ars Technica qu’une attaque contre l’implémentation RSA à 2 048 bits d’Apple ou de Cloudflare pour Privacy Pass, qui n’utilise ni l’un ni l’autre de ces types de rembourrage, prendrait environ autant de requêtes de jetons que Cloudflare en reçoit quotidiennement pour les requêtes HTTP.
Des ordinateurs quantiques capables de casser RSA à grande échelle sont en développement, mais restent largement théoriques. Deux études plus tôt cette année, toutefois, suggéraient que briser une autre méthode de clé publique appelée cryptographie sur courbes elliptiques pourrait nécessiter moins de ressources que les estimations antérieures.
