В Google DeepMind говорят, что агенты искусственного интеллекта, работающие под наблюдением человека, нашли два способа снизить стоимость атаки на 1024-битные криптосистемы RSA — результат, который меняет представления о устаревшем шифровании, даже несмотря на то, что компания подчеркивает, что современные ключи длиной 2048 бит и больше остаются безопасными.

Исследование, проведенное совместно с криптографами из Калифорнийского университета в Сан-Диего и Инрии, показывает, что атаки на устаревший RSA-1024 требуют меньше вычислений, чем предполагалось ранее, согласно отчету SecurityWeek о результатах. «На практике эти результаты затрагивают только устаревшие 1024-битные системы RSA, а современные протоколы шифрования, которые почти повсеместно используют ключи длиной 2048 бит и более, остаются безопасными», — сказал Пушмит Кохли, вице-президент Google DeepMind и главный научный сотрудник Google Cloud. Подробнее об этой истории — в нашем тенденции ИИ.

В поисках: набивка защищает меньше, чем мы думали

Первый вывод касается цифровых подписей и заполнения — предустановленных данных, которые многие стандарты подписей добавляют к сообщению, чтобы довести его до фиксированного размера блока. Давно считалось, что заполнение усложняет подделку, но его ценность против злоумышленника, который может выбирать, что подписывать, было неясно.

DeepMind определила, что ответ зависит от того, какую часть подписанного блока контролирует злоумышленник. «Как только они контролируют примерно половину квартала или больше, прокладка вообще не добавляет защиты», — объяснил Кохли. Согласно сопроводительному документу, это относится к формату PKCS#1 v1.5, используемому интерфейсом подписи PKCS#11 криптографических устройств, таких как аппаратные модули безопасности — устройства, на которые полагаются предприятия, чтобы держать ключи подписи вне досягаемости.

Команда не остановилась на теории. В ходе изолированного теста агенты DeepMind повторно провели более раннюю академическую атаку по подделке того же 1024-битного ключа и сократили необходимое время процессора в 3,5 раза: первая подделка потребовала 391 год процессорного ядра по сравнению с 1380 в исходном исследовании. Пожалуй, наиболее примечательным является то, как была выполнена работа: два ИИ-агента спроектировали, запустили и отладили расчет подделки менее чем за четыре дня, получив примерно 20 сообщений от человека-исследователя, большинство из которых были одобрены.

Даже в консервативном случае, когда злоумышленник контролирует меньшую часть блока — например, 32-байтовый хеш — DeepMind нашел алгоритм, который, по его теоретическим оценкам, примерно в 1600 раз лучше, чем предыдущий лучший метод против 1024-битных ключей.

Находка два: пакетный факторинг становится в 30 раз дешевле

Второй вывод касается факторизации множества ключей RSA одинакового размера. Когда злоумышленник атакует множество ключей одновременно, затраты на одно большое предварительное вычисление могут быть распределены между всеми ними. Агенты DeepMind разработали алгоритм, который делает факторизацию каждого дополнительного 1024-битного ключа в среднем примерно в 30 раз дешевле, чем лучший предыдущий подход.

Google осторожно относится к ограничениям: оценка является теоретической, метод не был реализован и предполагает, что первоначальные вычисления столь же затратны, как факторизация одного ключа.

Почему это не непосредственная угроза

Предостережения имеют такое же значение, как и цифры в заголовках. Сигнатурная атака не восстанавливает закрытый ключ. Для этого требуется заранее выполнить примерно 4 миллиарда запросов на подпись, и он не работает с устройствами, которые внутренне хэшируют сообщения, что исключает многие современные развертывания. Полный факторинг одного 1024-битного ключа остается огромной задачей: по оценкам, это потребует от 500 000 до 1 миллиона ядер-лет процессора.

Таким образом, практический риск концентрируется там, где он обычно бывает в криптографии: в старых системах, которые следовало бы вывести из эксплуатации. RSA-1024 сохраняется в устаревших аппаратных модулях безопасности, устаревшей инфраструктуре PKI и встроенных системах, миграцию которых никто не запланировал. Это исследование не делает эти системы уязвимыми завтра, но оно сужает разницу между «атака невозможна» и «атака дорогая, но вероятная» для хорошо обеспеченных ресурсами противников.

Для организаций, которые все еще используют 1024-битный RSA где-либо в своем стеке, полученные результаты усиливают необходимость ускорения перехода на 2048-битные ключи или более крупные, а также для проверки того, хешируют ли их подписывающие устройства внутренние сообщения, прежде чем предполагать, что атаки с подделкой подписи не применяются.

Агенты искусственного интеллекта как состязательные тестеры криптографии

Более глубокое значение работы может быть методическим. Вместо того, чтобы команда людей тратила годы на отработку методов атак, агенты DeepMind исследовали пространство атаки, выполняли вычисления и отлаживали их в основном автономно — под руководством исследователя и получения одобрений.

«В совокупности эти результаты показывают, что в новую эпоху математики и вычислений с использованием искусственного интеллекта мы не можем рассматривать криптографическую стойкость как фиксированное предположение», — сказал Кохли. «Использование ИИ для тщательной проверки наших ранее сделанных предположений обеспечит безопасность современного шифрования».

Такая формулировка предполагает будущую модель в исследованиях безопасности: системы искусственного интеллекта проводят стресс-тестирование предположений, лежащих в основе критической инфраструктуры, и находят слабые места раньше, чем это сделают злоумышленники. Те же возможности агента, которые снижают стоимость атаки на устаревшие системы, в принципе могут быть направлены на усиление защиты замен. Криптографы потратили десятилетия, предполагая, что стена продержится до тех пор, пока не появятся квантовые вычисления; Результаты DeepMind являются напоминанием о том, что классические атаки тоже могут стать дешевле, а нижний предел «неосуществимости» выше, чем раньше.

Будьте впереди ИИ

Системы искусственного интеллекта сейчас исследуют основы самой цифровой безопасности. Будьте впереди ИИ с помощью AI Buzz Wire — о научных открытиях, разработках в области безопасности и актуальных новостях о моделях.

Читать больше новостей об искусственном интеллекте →