Forscher haben einen neuen Angriff auf RSA-Verschlüsselung im Bereich der klassischen Computer entdeckt, der die Kosten für das Knacken von Schlüsseln auf ein Niveau reduziert, bei dem selbst Systeme mit 2048 Bit nicht mehr den akzeptierten Sicherheitsstandards entsprechen. Der Befund stellt keine unmittelbare praktische Bedrohung dar, könnte aber eine frühzeitige Ersetzung weit verbreiteter Verschlüsselung erforderlich machen.
Wie der Angriff funktioniert
Jahrzehntelang war die Annahme hinter RSA einfach: Um eine Signatur zu fälschen, muss man zuerst den Schlüssel knacken. Das bedeutet, die große ganze Zahl zu faktorisieren, die den Schlüssel definiert, eine Aufgabe, die für ausreichend große Schlüssel als unpraktisch galt. Nun hat ein Team unter der Leitung von Nadia Heninger von der University of California in San Diego gezeigt, dass diese Annahme möglicherweise nicht mehr gilt.
Der Angriff erfordert nicht die Faktorisierung des Schlüssels. Stattdessen findet er einen Weg, gültige Signaturen direkt zu erzeugen. Die Faktorisierung einer großen ganzen Zahl ist ein schwieriges Problem, aber die neue Methode reduziert den erforderlichen Rechenaufwand um Größenordnungen.
Was der Angriff bewirkt
Die Methode gilt für 1024-Bit-Schlüssel, die einst als schwach galten und jetzt veraltet sind. Für diese Schlüssel liegt das Knacken innerhalb der Möglichkeiten früher als bisher geschätzt.
Noch besorgniserregender ist der Effekt auf größere Schlüssel. Der Angriff reduziert die Sicherheit von 2048-Bit- und 4096-Bit-Schlüsseln auf unakzeptable Werte. Die National Security Agency, das National Institute of Standards and Technology und die Europäische Union-Agentur für Cybersicherheit verlangen alle, dass jedes Kryptosystem ein Niveau von mindestens 128 Bit bietet, was bedeutet, dass die erforderlichen Operationen 2^128 übersteigen müssen.
Die Forscher haben gezeigt, dass die Mathematik funktioniert. Die Kluft zwischen Theorie und Praxis bleibt jedoch erheblich, aber die Richtung ist klar.
Warum das wichtig ist
Karsten Nohl, ein Kryptografieexperte und Leiter der Innovation bei Allurity, stellte die Bedeutung des Ergebnisses in einem Interview zollend dar. „Wenn dieses Ergebnis die Peer-Review übersteht, wäre es in der Tat ein konzeptioneller Durchbruch“, sagte er. „RSA ist so schwer zu knacken wie die Faktorisierung großer ganzer Zahlen, zumindest so dachten wir. Der Forscher schlägt vor, dass man RSA praktisch knacken kann, ohne den Schlüssel zu knacken.“
Der Angriff verändert auch die Wirtschaftlichkeit des Crypto-Cracking. Für RSA mit 1024 Bit wurde angenommen, dass Faktorisierung sehr teuer sei, wenn auch wahrscheinlich mit den Rechenressourcen großer Technologieunternehmen oder der NSA machbar – auf der Größenordnung von mehreren Millionen Dollar an Rechenzeit für einen einzelnen Schlüssel. Die neue Methode senkt diese Messlatte.
Für RSA mit 2048 Bit reduziert der Angriff die Sicherheit auf unakzeptable Werte, so die Forscher. Die Tatsache, dass sie unter die akzeptierte Schwelle fällt, ist der Kern der Besorgnis.
Die Grenzen der Bedrohung
Das unmittelbare Risiko ist gering. Der Angriff erfordert mehr Rechenleistung als fast jeder – abgesehen von Nationalstaaten oder Unternehmen mit massiven Ressourcen – erreichen kann.
Diese Einordnung ist wichtig. Dies ist keine Schwachstelle, die ein Hacker morgen ausnutzen kann. Es ist eine Warnung, dass die mathematischen Grundlagen von RSA schwächer sind als angenommen, und dass Systeme, die kleinere Schlüssel verwenden, ein größeres Risiko eingehen als bisher angenommen.
Der Weg nach vorn
Die Forschung hat Kryptographen überrascht, da sie Signaturen-Fälschung einführt, eine neue Möglichkeit, RSA-Schlüssel zu brechen, ohne zu faktorisieren. Das Ergebnis ist ein konzeptioneller Durchbruch, nicht eine operative Krise.
Peer Review wird das Ergebnis testen. Bis dahin steht das Ergebnis als Warnung da und nicht als Mandat. Systeme, die 1024-Bit-Schlüssel verwenden, sollten grundsätzlich als kompromittiert betrachtet werden, auch wenn der praktische Angriff für die meisten Angreifer außerhalb der Reichweite bleibt.
Die größere Lektion ist, dass kryptografische Annahmen regelmäßigen Tests bedürfen. RSA ist seit Jahrzehnten der Standard und hat sich gut bewährt. Diese Forschung zeigt, dass das Vertrauen schnell schwinden kann, wenn sich die Annahmen ändern.
| Schlüssellänge | Vorheriges Risiko | Neues Risiko |
|---|---|---|
| 1024-Bit ( | Schwach, veraltet ( | Innerhalb der Reichweite ( |
| 2048-Bit ( | Stark ( | Unterhalb der akzeptierten Sicherheitsgrenze ( |
| 4096-Bit ( | Außer Reichweite ( | Reduzierte Sicherheit ( |
Die Tabelle erfasst diese Entwicklung. Der Angriff bricht RSA nicht vollständig, verändert aber die Kosten-Nutzen-Analyse für alle, die einen Schlüssel besitzen. Ein System, das werksseitig sicher war, ist nun nur bis zur nächsten Attacke sicher. (
Die zentrale Aussage ist einfach: Systeme, die 1024-Bit-Schlüssel verwenden, sollten grundsätzlich als kompromittiert betrachtet werden, selbst wenn die praktische Attacke für die meisten Angreifer außerhalb der Reichweite bleibt. Der Angriff reduziert die Sicherheit von 2048-Bit- und 4096-Bit-Schlüsseln auf inakzeptable Werte, so die Forscher, und das ist ein Problem, das früher oder später behoben werden muss. (
Die Forschung ist eine Erinnerung daran, dass kryptografische Sicherheit nicht dauerhaft ist. Sie ist ein Gleichgewicht von Kosten und Aufwand, und dieses Gleichgewicht verschiebt sich im Laufe der Zeit. Der neue Angriff zeigt, dass die Kosten für das Knacken von RSA gesunken sind, und die Sicherheitsgrenzen haben sich dementsprechend verschoben.
Derzeit gilt die Forschung als Warnung. Die Mathematik hat sich verändert, und die darauf basierenden Systeme müssen sich anpassen.
Quelle: „Es gibt eine neue Methode, RSA zu brechen, die schneller ist als alles, was wir bisher gesehen haben“, Ars Technica.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.