Ricercatori forgiano firme RSA senza estrarre la chiave di un modulo di sicurezza hardware

Ricercatori della UC San Diego e dell’Istituto francese di ricerca in informatica (Institute for Research in Computer Science) hanno dimostrato un attacco RSA che ha permesso loro di impersonare un modulo di sicurezza hardware e falsificare firme senza estrarne la chiave. L’attacco ha richiesto circa 4 miliardi di richieste di firma e 1.380 anni-core di CPU. I ricercatori lo hanno dimostrato contro una chiave da 1.024 bit, usando una chiave di prova di loro proprietà. Hanno disattivato la modalità FIPS del modulo, un’impostazione di sicurezza certificata, così da fargli firmare numeri non formattati. Hanno eseguito calcoli sulle risposte del modulo. I ricercatori hanno descritto l’attacco in un articolo inviato all’archivio ePrint di crittologia dell’IACR il 20 settembre. L’articolo è una prepubblicazione. Secondo gli autori, l’attacco probabilmente non rappresenta una minaccia operativa immediata per la maggior parte delle implementazioni RSA moderne che utilizzano il riempimento (padding). La firma RSA standard utilizza schemi di riempimento come PKCS#1 v1.5 o PSS. Le firme con riempimento non generano l’oracolo sfruttabile utilizzato nell’attacco. Bitcoin utilizza l’algoritmo di firma digitale a curva ellittica. Ethereum e la maggior parte delle blockchain più grandi utilizzano lo stesso schema di firma. BitGo afferma che i fornitori di servizi di custodia istituzionale utilizzano moduli di sicurezza hardware per proteggere le chiavi, che quindi non si trovano mai al di fuori dei dispositivi. Le firme cieche basate su RSA consentono a un server di firmare qualcosa senza vederlo. Una variante di Privacy Pass utilizza firme cieche. Cloudflare afferma che Apple utilizza una versione di Privacy Pass per consentire agli utenti di dimostrare di aver superato un controllo, come un CAPTCHA, senza rivelare la propria identità. Gli autori definiscono il risultato una prova classica a favore dell’abbandono di RSA durante la transizione post-quantistica. A fine marzo, ricercatori del Caltech hanno stimato che potrebbero bastare da 10.000 a 20.000 qubit per eseguire l’algoritmo di Shor, che minaccia le firme a curva ellittica di Bitcoin. Google ha fissato al 2029 la scadenza per completare la migrazione dei propri sistemi alla crittografia post-quantistica.