Onlarca yıldır biliniyor ki, RSA şifreleme sisteminin günleri sayılı. Kuantum bilgisayarların pratik hale gelmesiyle (bu tahminler 3 ila 20 yıl veya daha fazla sürebilir), sağladığı temel güvenlik çökecek. Ancak yeni bir araştırma, klasik bilgisayarlar kullanarak mevcut RSA güvenlik seviyesini kabul edilemez derecede düşük bir eşiğe indiren yenilikçi bir yöntem ortaya çıkardı.
Bu bulgu, yakın vadede pratik bir tehdit oluşturmuyor, yalnızca birkaç uç durumda olası bir risk teşkil edebilir. Hatta eskimiş 1024-bit anahtarlara karşı bu saldırıyı uygulamak bile, devletler veya devasa kaynaklara sahip şirketler dışındaki hemen herkesin ulaşabileceğinden daha fazla hesaplama gücü gerektiriyor. Yaygın olarak kullanılan RSA uygulamaları güvende.
Yine de bu araştırma, kriptografları şaşırttı çünkü anahtar faktörleme yapmadan RSA şifrelerini kırmanın yeni bir yolu olan imza sahteciliğini (signature forgery) getiriyor. Daha da önemlisi, bu yenilikçi yöntem gereken hesaplama kaynaklarını kat kat azaltıyor.
Ulaşılmaz Değil Artık
Kriptografi uzmanı ve Allurity İnovasyon Başkanı Karsten Nohl, bir röportajında, "Bu sonuç hakemli incelemeden geçerse, gerçekten kavramsal bir atılım olur" dedi. "RSA'nın kırılması, en azından biz öyle sanıyorduk, büyük tam sayıları faktörlemek kadar zor. Araştırmacı, anahtarını kırmadan RSA'yı pratik olarak kırabileceğinizi öne sürüyor."
San Diego Kaliforniya Üniversitesi'nden profesör ve araştırmanın baş yazarı Nadia Heninger, şunları belirtti:
Heninger ve diğer araştırmacıların geliştirdiği anahtar sahteciliği saldırısı (key forgery attack), 1024-bit RSA'nın kırılmasını daha önce tahmin edilenden çok daha erken bir ihtimal dahilinde mümkün kılıyor. 2048- ve 4096-bit anahtarlar için bile, bu yöntem RSA'nın güvenliğini kabul edilemez seviyelere düşürüyor. Ulusal Güvenlik Ajansı, Ulusal Standartlar ve Teknoloji Enstitüsü ve Avrupa Birliği Ağ ve Bilgi Güvenliği Ajansı, herhangi bir şifreleme sisteminin en az 128 bit veya daha fazla güvenlik sağlaması gerektiğini belirtiyor. Bu da gereken işlemlerin 2128'i aşması gerektiği anlamına geliyor.
Sahtecilik saldırısı, 1024-, 2048- ve 4096-bit anahtarlar için bu seviyeleri sırasıyla 265, 290 ve 2119'a düşürüyor. Bu seviyeler daha da düşebilir çünkü Heninger'ın ekibi tüm kodlamayı elle yaptı ve sahtecilikleri gerçekleştirirken yapay zeka veya GPU kullanmadı. Araştırmacı, bu araçların güvenlik seviyelerini "neredeyse kesinlikle" daha da düşüreceğini söyledi.
Saldırı yalnızca körlenmiş imza (blind-signature) uygulamalarına karşı çalışıyor. Günümüzde kullanılan RSA'nın büyük çoğunluğu, şifrelenmeden önce düz metne veri ekleyen bir format olan PKCS veya PSS dolgusunu kullanıyor. Bu, şifreli metnin deterministik olmasını engelliyor ve yan kanal saldırılarına karşı daha az savunmasız hale getiriyor. Yine de bazı gerçek dünya sistemleri, körlenmiş imza olarak da bilinen metin tabanlı (textbook) RSA'yı kullanmaya devam ediyor. Heninger'a göre en bilinen örneklerden biri, kullanıcıların kimliklerini açıklamadan kimlik doğrulamalarını sağlayan bir protokol olan Privacy Pass. Privacy Pass, Apple ve Cloudflare gibi birçok platform tarafından kullanılıyor.
Privacy Pass'a yönelik bir saldırı, bir saldırganın Cloudflare, Apple veya başka bir kuruluşa ait bir sunucuyu ele geçirmesini ve 243 imza üretmesini gerektirirdi. Heninger, bu gereksinimin "çok gibi göründüğünü" ancak Cloudflare'in halka açık olarak günde işlediğini belirttiği ağ trafiği miktarıyla aynı büyüklük mertebesinde olduğunu söyledi. Çoğu Privacy Pass uygulaması anahtarları düzenli olarak döndürür; bu önlem saldırı başarısı olasılığını büyük ölçüde azaltır, ancak otomatik olarak ortadan kaldırmaz.
Teknik, 2007 yılında icat edilen sayı cisim eleği (number field sieve) algoritmasının bir varyantını uyguluyor. Bu "özel" sayı cisim eleği, RSA ve diğer bazı şifreleme sistemlerindeki bir zayıflık olan ve belirli sorgulara evet/hayır yanıtları veren bir "oracle"'a karşı kullanılıyor. Kitlesel sayıda işlem yaparak, saldırganlar şifreli metni çözmek için yeterli bilgiyi toplayabilir. (Tekrar belirtmek gerekirse, bu teknik PKCS veya PSS dolgusu kullanan RSA'ya karşı pratik bir tehdit oluşturmuyor, çünkü bunlar oracle'ı ortadan kaldırıyor.) 1024-bit bir anahtarı faktörlemek tahmini 280 işlem ve 500.000 ila 1 milyon CPU çekirdek yılı gerektirirken, eleği imza sahteciliği için kullanmak yalnızca (daha önce belirtildiği gibi) 265 işlem ve 1.380 çekirdek yılı aldı.
Makalenin yazarları ve diğer araştırmacılar, yeni saldırının gerçek dünyada çok az tehdit oluşturduğunu vurguluyor. Ancak metin tabanlı RSA'nın tahmini güvenliğini, daha önce bilinmeyen bir şekilde, önemli ölçüde düşürüyor.
Kriptograflar, son yıllarda kuantum bilgisayar saldırılarına karşı savunmasız olmayan alternatif şifreleme sistemleri geliştirmek için yoğun bir şekilde çalışıyor. Yeni saldırı, şifreleme sisteminden tamamen uzaklaşma aciliyetini daha da artıracak. Makale yazarları daha anlaşılır bir açıklayıcıyı burada sunuyor.
