LONDON (IT BOLTWISE) – Forschende zeigen eine neue Angriffsmethode gegen bestimmte RSA-Implementierungen, die Signaturen fälscht, ohne die Schlüssel per Faktorisierung zu berechnen. Damit sinkt die geschätzte Sicherheit von 1024-, 2048- und sogar 4096-Bit-RSA teils deutlich schneller als bisher angenommen. Für die meisten heute verbreiteten RSA-Nutzungen mit PKCS oder PSS gilt die Gefahr zwar als gering, aber bei sogenannten Blind-Signaturen sind die Grenzen neu zu bewerten. Besonders relevant ist der Befund für Protokolle wie Privacy Pass, das unter anderem bei Apple und Cloudflare eingesetzt wird.
Bislang galt in der Kryptografie eine ziemlich klare Trennung: Wer RSA brechen will, versucht entweder direkt die Faktorisierung großer Zahlen oder man hofft, dass dieser Weg so teuer bleibt, dass Angreifer auf absehbare Zeit scheitern. Die neue Forschung dreht dieses Bild ein Stück weit um, indem sie eine Technik beschreibt, die gültige RSA-Digitalsignaturen erzeugen kann, ohne zuvor den privaten Schlüssel aus der öffentlichen Komponente „herzuleiten“. Entscheidend ist dabei nicht ein schnellerer Weg zur Faktorisierung, sondern ein anderer Angriffsmodus: eine Signaturfälschung, die unter bestimmten RSA-Ausprägungen die Sicherheitsannahmen relativiert. In der Praxis bedeutet das vor allem für Teams, die RSA in Randfällen oder in älteren, „textbook“ genannten Varianten einsetzen, dass sie ihre Bedrohungsmodelle kurzfristig neu prüfen müssen.
Karsten Nohl, Cryptography-Experte und Leiter Innovation bei Allurity, brachte den Kern der Überraschung auf den Punkt: Falls das Ergebnis die Begutachtung durch Fachkollegen besteht, sei es eine konzeptionelle Zäsur. Nohl betont dabei gerade den Rollenwechsel weg vom „Schlüssel knacken“, hin zu einem Angriff, der RSA auch dann handhabbar macht, wenn die Faktorisierung praktisch unmöglich bleibt. Diese Richtung wird durch die inhaltliche Einordnung von Nadia Heninger, Professorin an der University of California at San Diego und leitende Autorin der Arbeit, greifbar: Der bisherige Denkrahmen ging davon aus, dass gültige Signaturen nur entstehen, wenn Angreifer zuerst den privaten Schlüssel berechnen, um danach damit zu signieren. Die neue Methode setzt genau an diesem Ablauf an und zeigt, dass sich Signaturgültigkeit auch ohne diesen Zwischenschritt herstellen lässt.
Aus Angriffssicht ist der Unterschied besonders dann spürbar, wenn man die Sicherheits- und Kostenabschätzungen gegeneinanderstellt. Für 1024-bit RSA war die Faktorisierung zwar nach damaliger Sicht „sehr teuer“, aber grundsätzlich nicht völlig außerhalb dessen, was mit massiver Rechenleistung denkbar ist. Für 2048-bit RSA galt dagegen: außerhalb der Reichweite. Die Arbeit rechnet dagegen für die neue Signaturfälschung konkrete Größenordnungen, die in der Größenordnung deutlich früher realistisch werden könnten: Laut den beschriebenen Vergleichswerten benötigt die Faktorisierung einer 1024-bit-Verschlüsselung etwa 2^80 Operationen und grob 500.000 bis 1.000.000 CPU-Core-Years. Für die Signaturfälschung wird hingegen eine Zahl von 2^65 Operationen und etwa 1.380 Core-Years genannt. Gleichzeitig wird hervorgehoben, dass die neuen Angriffe keine „Allzweckwaffe“ für jedes RSA-System sind, sondern an eine bestimmte Klassenimplementierung gebunden sind.
Das führt direkt zum wichtigsten technischen Gatekeeper: Der Angriff funktioniert nur gegen „blind-signature“-Implementationen, also gegen RSA-Varianten, bei denen der Signaturprozess so gestaltet ist, dass er einem Angreifer das Fälschen erleichtern kann, wenn bestimmte Annahmen nicht erfüllt sind. Der überwiegende Teil der real eingesetzten RSA-Systeme verwendet heute PKCS oder PSS als Polsterung (Padding). Diese Formate fügen der Klartextvorlage Zusatzdaten hinzu, machen die Ausgaben weniger deterministisch und reduzieren dadurch auch die Angreifbarkeit durch Side-Channel-ähnliche Muster. Damit gilt für typisches RSA mit PKCS/PSS: Für den unmittelbaren Praxisbetrieb entsteht laut den Autoren keine akute Gefahr. Dennoch bleibt ein wesentlicher Teil des Risikos bestehen, weil es reale Systeme gibt, die weiterhin textbook RSA nutzen.
Als prominentes Beispiel wird Privacy Pass genannt, ein Protokoll, das es Nutzern ermöglicht, sich zu authentifizieren, ohne die Identität vollständig offenzulegen. Laut der Quelle wird Privacy Pass von verschiedenen Organisationen eingesetzt, darunter Apple und Cloudflare. In diesem Kontext beschreibt Heninger eine Angriffsszenario-Schwelle: Ein Angreifer müsste mindestens einen Server einer beteiligten Organisation kompromittieren und dann offenbar eine Größenordnung von 2^43 Signaturen erzeugen, um den Angriff praktisch anzustoßen. Die Einordnung lautet zugleich: Das klingt hoch, liegt aber in einer Größenordnung, die im Rahmen der Netzwerkaktivität liegt, die Cloudflare öffentlich für die Verarbeitung großer Verkehrsvolumina kommuniziert hat. Zusätzlich wird darauf hingewiesen, dass viele Privacy-Pass-Implementationen Schlüssel regelmäßig rotieren; Rotation senkt zwar das Erfolgsfenster, eliminiert aber das Risiko nicht automatisch.
Technisch wird die neue Methode als Variante eines „special“ number field sieve beschrieben, der 2007 entwickelt wurde. Dieser Algorithmus wird gegen ein sogenanntes „Oracle“ eingesetzt: eine Schwachstelle, die Ja-/Nein-Antworten auf konkrete Anfragen liefert. Durch das Sammeln sehr vieler solcher Informationen soll sich die entschlüsselungsrelevante Struktur so weit rekonstruieren lassen, dass am Ende gültige Signaturen entstehen. Der Vergleich mit den geforderten Sicherheitsniveaus aus Compliance-ähnlichen Zielgrößen wird ebenfalls genannt: Die Quelle verweist auf Anforderungen, dass ein Kryptosystem mindestens einem Sicherheitsniveau von 128 oder mehr Bits entsprechen muss (operationell: mehr als 2^128). Für 1024-, 2048- und 4096-bit RSA fallen die angegebenen Werte durch den Angriff auf 2^65, 2^90 bzw. 2^119, wobei betont wird, dass diese Zahlen weiter sinken könnten, weil das Team die Implementierung ohne Automatisierung durch KI oder GPU-Beschleunigung erstellt habe.
Für die Einordnung in den Markt ist vor allem wichtig, dass sich hier nicht „RSA insgesamt“ als unsicher erweist, sondern die Lücke präzise an einer bestimmten Implementationsfamilie aufgerissen wird. Genau solche Differenzen entscheiden in der Praxis darüber, ob ein Sicherheitsupdate nur theoretisch ist oder ob Betriebs- und Architekturentscheidungen betroffen sind. In den kommenden Monaten dürften daher besonders jene Organisationen Aufwand treiben, die RSA in Randkomponenten, in spezialisierten Protokollen oder in Legacy-Stacks verwenden, um den Padding-Modus und den Signaturpfad sauber zu identifizieren. Zugleich passt die neue Erkenntnis in eine größere Bewegung: Seit Jahren arbeiten Kryptografen an Alternativen zu RSA, um die spätere Bedrohung durch Quantenangriffe abzufedern. Die beschriebene Methode erhöht nun den Druck, sichere Übergänge Richtung Post-Quantum-Kryptografie konsequent zu planen, auch wenn der unmittelbare Schaden an den meisten PKCS/PSS-basierenden Installationen zunächst begrenzt bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Neue Methode schwächt RSA: Signaturen ohne Faktorisierung möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Neue Methode schwächt RSA: Signaturen ohne Faktorisierung möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Neue Methode schwächt RSA: Signaturen ohne Faktorisierung möglich« bei Google Deutschland suchen, bei Bing oder Google News!