Forscher haben gezeigt, dass sich RSA-Signaturen unter bestimmten Bedingungen manipulieren lassen, ohne den geheimen Schlüssel zu kennen. Für die meisten Unternehmen besteht aktuell keine akute Gefahr, doch die Ergebnisse zeigen neue Risiken bei veralteten Schlüsseln und unsicheren Schnittstellen auf.
Ein Forschungsteam aus den USA und Frankreich hat einen neuen Angriff auf RSA-Signaturen demonstriert. Dabei gelang es, gültige digitale Signaturen zu erzeugen, ohne den RSA-Modulus zu faktorisieren oder den privaten Schlüssel auszulesen. Betroffen sind jedoch nur spezielle Einsatzszenarien: Der Angriff setzt voraus, dass Angreifer zeitweise auf eine Schnittstelle für rohe, ungepolsterte RSA-Signaturen zugreifen können. Für gängige RSA-Signaturen mit modernen Schutzverfahren besteht nach aktuellem Stand keine unmittelbare Gefahr.
Mit trickreicher Anfrage eine Signatur erzeugt
Wie tarnkappe.info berichtet, demonstrierten die Forscher den Angriff mit einem 1024-Bit-RSA-Schlüssel und einem Hardware Security Module (HSM). Solche Geräte sollen private kryptografische Schlüssel besonders schützen und kommen unter anderem in Banken, Rechenzentren und Unternehmens-Public-Key-Infrastrukturen zum Einsatz. Die Forscher konnten das HSM über seine Schnittstelle gezielt anfragen und anschließend ohne weiteren Zugriff beliebige Signaturen erzeugen – obwohl der geheime Schlüssel das Gerät nie verlassen hatte.
Der Ansatz nutzt einen bereits 2007 beschriebenen Algorithmus, den das Team erstmals praktisch für einen RSA-Schlüssel dieser Größe umgesetzt hat. Anders als bei einem klassischen Angriff wird der öffentliche RSA-Modulus nicht in seine geheimen Primfaktoren zerlegt. Stattdessen kombiniert die Methode vorbereitende Berechnungen mit einigen Hundert Signaturanfragen an ein sogenanntes Signatur-Oracle. Diese Schnittstelle liefert auf Anfrage rohe RSA-Operationen und eröffnet damit die Möglichkeit, die Fähigkeit zum Signieren faktisch nachzubilden.
Aktuelles Verfahren nur durch extreme Rechenleistung in Gefahr
Für den praktischen Versuch benötigte das Team insgesamt rund 1.380 CPU-Kernjahre Rechenleistung über fünf Kalendermonate und 232 Abfragen an das HSM. Die aufwendigste Vorberechnung erfolgte nur einmal. Danach ließ sich die Signatur einer beliebigen Nachricht offline mit einem zusätzlichen Rechenaufwand von rund 180 CPU-Kernjahren fälschen. Eine direkte Faktorisierung eines vergleichbaren 1024-Bit-RSA-Modulus würde nach Einschätzung der Forscher mehrere Hunderttausend bis eine Million CPU-Kernjahre erfordern. Die Ergebnisse stellen daher nicht die alltägliche Nutzung aktueller RSA-Signaturen infrage.
Mehr bei Tarnkappe.info