Дослідники створили 1024-бітний RSA підпис без вилучення приватного ключа

Команда дослідників з Університету Каліфорнії в Сан-Дієго виявила, що 1024-бітний RSA підпис можна підробити, надсилаючи кілька запитів до апаратного модуля безпеки (HSM), при цьому приватний ключ не був витягнутий з пристрою.

Це відкриває нові ризики для крипто-кастерів, адже просте зберігання ключа в захищеному обладнанні не є достатнім, якщо зловмисник отримає доступ до авторизованих систем. У дослідженні, опублікованому в IACR ePrint 2026/2131, група вчених, що включає Лору Шеа, Міро Галера, Адама Суля та Надію Хенінгер, описує, як тимчасовий доступ до сирого RSA підписника може надати зловмиснику можливість підробляти підписи офлайн.

Процес атаки складався з понад 4,3 мільярда базових запитів на підпис, що вимагало 1380 років роботи процесора за п’ять місяців. Атака вимагає наявності сирого необробленого RSA підписника, оскільки стандартні RSA підписи не забезпечують такого доступу.

Дослідники відключили сертифікований режим FIPS на HSM та використали тестовий ключ.

Запити можуть швидко накопичуватися; наприклад, 2,3 мільярда активних пристроїв Apple можуть створити таку саму кількість запитів всього за 2,3 дня. Для крипто-кастерів зберігання приватного ключа в сейфі не гарантує повну безпеку, оскільки API та автоматизовані системи, що використовують ключ, представляють собою власні ризики.

Це вже відображено в індустрії, де безпека цифрових монет і процедури підписання ключів стали важливими в процесі вибору кастодіана. Дослідження також вказує, що RSA з підписним оріаклом має нижчу безпеку на 15-30 біт, ніж оцінки на основі факторизації для звичайних 1024-4096-бітних ключів.

Проте зазначається, що ця атака не є загрозою для систем підписання транзакцій Bitcoin та Ethereum, оскільки вони використовують інші алгоритми підпису.