روشی نوین برای شکستن رمزنگاری RSA؛ نفوذی سریع‌تر و بی‌سابقه بدون نیاز به فاکتورگیری کلیدها

دهه‌هاست که کارشناسان می‌دانند دوران اقتدار سیستم رمزنگاری RSA رو به پایان است. با کاربردی شدن رایانش کوانتومی (که برآوردها زمان آن را بین ۳ تا بیش از ۲۰ سال دیگر تخمین می‌زنند)، پایه‌های امنیتی ایجادشده توسط این پروتکل فرو خواهد ریخت. با این حال، یافته‌های پژوهشی جدید نشان می‌دهد که با استفاده از همان کامپیوترهای کلاسیک نیز می‌توان سطح امنیت کنونی RSA را به آستانه‌ای غیرقابل‌قبول و ناامن کاهش داد.

اگرچه خطرات عملی این روش محدود است، اما همچنان پیامدهای امنیتی درخورتوجهی به همراه دارد. اجرای این حمله علیه کلیدهای منسوخ‌شده‌ی ۱۰۲۴ بیتی، روی یک کلاستر پردازنده مرکزی (CPU) دانشگاهی تنها چند ماه زمان برد؛ مدتی که به‌مراتب کمتر از برآوردهای پیشین برای تجزیه کلیدهای ۱۰۲۴ بیتی است؛ فرایندی که در گذشته تنها دولت‌ها یا ابرشرکت‌های مجهز به منابع مالی و پردازشی هنگفت قادر به پیاده‌سازی آن بودند. با این وجود، پیاده‌سازی‌های رایج و گسترده‌ی RSA همچنان در برابر این روش در امان هستند.

با این همه، این پژوهش متخصصان رمزنگاری را غافلگیر کرده است؛ زیرا راهکاری نوین به نام «جعل امضا» (Signature Forgery) را معرفی می‌کند که بدون نیاز به تجزیه عوامل اول، کلیدهای RSA را دور می‌زند. نکته بااهمیت دیگر این است که متدولوژی مذکور توان پردازشی مورد نیاز را چندین مرتبه کاهش می‌دهد.

دیگر دور از دسترس نیست

«کارستن نول» (Karsten Nohl)، متخصص برجسته رمزنگاری و مدیر نوآوری در شرکت Allurity، در گفت‌وگویی پیرامون این دستاورد اظهار داشت: «اگر نتایج این پژوهش در داوری علمی همتایان تایید شود، بی‌تردید شاهد یک پیشرفت مفهومی بنیادین خواهیم بود. تاکنون باور بر این بود که شکستن رمزنگاری RSA دقیقاً به‌اندازه فاکتورگیری و تجزیه اعداد صحیح بزرگ دشوار است؛ اما این پژوهش نشان می‌دهد که عملاً می‌توان بدون نیاز به کرک کردن مستقیم کلید، امنیت RSA را زیر پا گذاشت.»

«نادیا هنینگر» (Nadia Heninger)، استاد دانشگاه کالیفرنیا در سن‌دیگو و نویسنده اصلی این مقاله علمی، جزئیات بیشتری را تشریح کرد:

متخصصان رمزنگاری همواره گمان می‌کردند تنها روش محاسبه امضاهای دیجیتال معتبر RSA این است که ابتدا کلید خصوصی از طریق تجزیه به عوامل اول به دست آید و سپس با استفاده از آن کلید، امضاها محاسبه شوند. برای کلیدهای ۱۰۲۴ بیتی RSA، این اقدام بسیار پرهزینه ارزیابی می‌شد؛ هرچند با در اختیار داشتن منابع محاسباتی غول‌های فناوری یا آژانس امنیت ملی آمریکا (NSA) و صرف ده‌ها میلیون دلار هزینه محاسباتی برای یک کلید منفرد، امکان‌پذیر به نظر می‌رسید. اما برای کلیدهای ۲۰۴۸ بیتی، چنین حمله‌ای کاملاً خارج از دسترس تلقی می‌شد.

حمله جعل کلیدی که هنینگر و تیم همراهش طراحی کرده‌اند، خطری فوری برای کلیدهای ۱۰۲۴ بیتی RSA محسوب می‌شود. این راهکار حتی در خصوص کلیدهای ۲۰۴۸ و ۴۰۹۶ بیتی نیز حاشیه امنیت RSA را به سطوحی نامطلوب تنزل می‌دهد. نهادهایی چون آژانس امنیت ملی آمریکا (NSA)، موسسه ملی استاندارد و فناوری (NIST) و آژانس امنیت سایبری اتحادیه اروپا (ENISA) الزام کرده‌اند که هر سیستم رمزنگاری باید حداقل سطحی معادل ۱۲۸ بیت یا بالاتر ارائه دهد؛ به این معنا که تعداد عملیات ریاضی لازم برای نفوذ به آن باید از مرز ۲ به توان ۱۲۸ فراتر رود.

با این حال، این تکنیک جعل سطح امنیتی کلیدهای ۱۰۲۴، ۲۰۴۸ و ۴۰۹۶ بیتی را به‌ترتیب تا حدود ۲ به توان ۶۵، ۲ به توان ۹۰ و ۲ به توان ۱۱۹ تقلیل می‌دهد. این مقادیر حتی ممکن است کاهش بیشتری را نیز تجربه کنند؛ چرا که تیم هنینگر تمامی کدنویسی‌ها را به‌صورت دستی انجام داده و در اجرای این جعل‌ها از هیچ ابزار هوش مصنوعی یا پردازنده‌های گرافیکی (GPU) استفاده نکرده است. به گفته پژوهشگران، بهره‌گیری از این ابزارهای پیشرفته «تقریباً به‌طور حتم» سطح امنیت باقی‌مانده را باز هم کاهش خواهد داد.

نقطه قوت امنیت فعلی این است که حمله مورد بحث تنها علیه پیاده‌سازی‌های «امضای کور» (Blind Signature) در RSA کارایی دارد. اکثریت قاطع پیاده‌سازی‌های امروزی RSA از مکانیزم‌های پدینگ نظیر PKCS یا PSS بهره می‌برند؛ قالبی که داده‌هایی ساختاریافته را پیش از رمزگذاری به متن اصلی می‌افزاید. این رویکرد مانع از قطعی‌بودن خروجی متن رمزنگاری‌شده می‌شود و آسیب‌پذیری در برابر حملات کانال جانبی و موارد مشابه را خنثی می‌کند. با این حال، هنوز شماری از سیستم‌های کاربردی از امضای کور استفاده می‌کنند که در محافل علمی به عنوان RSA کتاب‌درسی (Textbook RSA) شناخته می‌شود. به گفته هنینگر، شناخته‌شده‌ترین نمونه در دنیای واقعی پروتکل Privacy Pass است؛ استانداردی که احراز هویت کاربران را بدون افشای هویت واقعی آن‌ها ممکن می‌سازد. شرکت‌هایی مانند Apple و Cloudflare از جمله نام‌های سرشناسی هستند که از Privacy Pass استفاده می‌کنند.

پیاده‌سازی حمله علیه Privacy Pass مستلزم آن است که نفوذگر بتواند سروری متعلق به Cloudflare، Apple یا سازمانی دیگر را هدف قرار داده و حدود ۲ به توان ۴۳ امضا تولید کند. به گفته هنینگر، هرچند این رقم «بسیار سنگین به نظر می‌رسد، اما از نظر مرتبه بزرگی تقریباً هم‌اندازه ترافیک شبکه‌ای است که Cloudflare رسماً اعلام کرده در طول یک روز مدیریت می‌کند.» البته اکثر پیاده‌سازی‌های Privacy Pass کلیدهای خود را به‌طور منظم تعویض (Rotate) می‌کنند؛ تدبیری موثر که شانس موفقیت مهاجم را به‌شدت کاهش می‌دهد، هرچند آن را به‌طور کامل به صفر نمی‌رساند.

این تکنیک در حقیقت نسخه‌ای اختصاصی از الگوریتم «غربال میدان اعداد» (Number Field Sieve) است که در سال ۲۰۰۷ ابداع شد. این «غربال میدان اعداد ویژه» علیه یک «اوراکل» (Oracle) به کار گرفته می‌شود؛ رخنه‌ای ساختاری در RSA و برخی سیستم‌های رمزنگاری دیگر که به پرسش‌های ارسالی پاسخ‌های دودویی بله یا خیر می‌دهد. مهاجمان با انجام حجم عظیمی از پردازش‌ها می‌توانند اطلاعات کافی برای رمزگشایی متن رمزشده را جمع‌آوری کنند. (لازم به یادآوری است که این تکنیک خطری برای پروتکل‌های مجهز به پدینگ PKCS یا PSS ایجاد نمی‌کند، زیرا این پدینگ‌ها وجود اوراکل را منتفی می‌کنند). در حالی که فاکتورگیری یک کلید ۱۰۲۴ بیتی نیازمند تخمینی حدود ۲ به توان ۸۰ عملیات و ۵۰۰ هزار تا ۱ میلیون هسته‌-سال پردازنده است، جعل امضا با استفاده از این غربال تنها به ۲ به توان ۶۵ عملیات و ۱٬۳۸۰ هسته‌-سال زمان نیاز داشت.

پژوهشگران این مطالعه و دیگر کارشناسان مستقل امنیت تاکید می‌کنند که این شیوه نفوذ، تهدید ملموس و مستقیمی متوجه سیستم‌های امنیتی جهان واقعی نمی‌کند؛ با این وجود، برآورد تئوریک از سطح امنیت مدل‌های پایه‌ای RSA را به شکلی بنیادین و با روشی که تاکنون سابقه نداشته، تنزل داده است.

جامعه رمزنگاری در سال‌های اخیر تلاش‌های گسترده‌ای را برای طراحی سیستم‌های رمزنگاری جایگزین و مقاوم در برابر حملات کوانتومی (Post-Quantum Cryptography) آغاز کرده است. ظهور این حمله کلاسیک جدید، ضرورت و شتاب مهاجرت کامل از زیرساخت‌های آسیب‌پذیر RSA به استانداردهای نوین امنیتی را دوچندان خواهد کرد.