List of Rsa [text.Baldanders.info]

379年前のアルゴリズムを使って RSA 暗号鍵を破った話

2022-03-19T03:20:03+00:00

RSA 公開鍵暗号の仕組みについては結城浩さんの『暗号技術入門』の第5章に分かりやすく解説されているので，まずはそちらを参照のこと。

今回のポイントとなる部分だけ紹介すると RSA 公開鍵暗号の鍵ペアを生成する際には最初に2つの大きな素数 $(p,q)$ を用意する。 $(p,q)$ を掛け合わせた $N=p \times q$ は公開鍵にも秘密鍵にも使われる値だが「2つの大きな素数を合成した値を（元の素数を知らずに）因数分解するのは難しい」ため $N$ から秘密鍵を推測するのは難しいとされている。当然ながら素数 $(p,q)$ の組み合わせは第三者に知られないよう管理する必要がある。

The security of RSA keys depends on the difficulty of factoring a key’s large composite number (usually denoted as N) to derive its two factors (usually denoted as P and Q). When P and Q are known publicly, the key they make up is broken, meaning anyone can decrypt data protected by the key or use the key to authenticate messages.

via Researcher uses 379-year-old algorithm to crack crypto keys found in the wild

ただし，素数 $(p,q)$ が互いに近い値の場合は容易に因数分解できることも大昔から知られている。

Cryptographers have long known that RSA keys that are generated with primes that are too close together can be trivially broken with Fermat’s factorization method. French mathematician Pierre de Fermat first described this method in 1643.

Fermat’s algorithm was based on the fact that any odd number can be expressed as the difference between two squares. When the factors are near the root of the number, they can be calculated easily and quickly. The method isn’t feasible when factors are truly random and hence far apart.

via Researcher uses 379-year-old algorithm to crack crypto keys found in the wild

で，実際に一部の暗号製品で「鍵サイズは大きいけど容易に破られる暗号鍵」を生成してしまうものがあったそうで，これは CVE-2022-26320 として詳細が公開されている。

The Rambus SafeZone Basic Crypto Module before 10.4.0, as used in certain Fujifilm (formerly Fuji Xerox) devices before 2022-03-01, Canon imagePROGRAF and imageRUNNER devices through 2022-03-14, and potentially many other devices, generates RSA keys that can be broken with Fermat’s factorization method. This allows efficient calculation of private RSA keys from the public key of a TLS certificate.

via CVE-2022-26320

この脆弱性を報告した Hanno Böck さんは自身の記事の中で，更に SKS PGP 鍵サーバにも今回のような脆弱な RSA 公開鍵があったと言っている（実際に運用している鍵ではなさそうだが）。

Is PGP/GnuPG/OpenPGP affected?

I applied the algorithm to a dump of the SKS PGP key servers. I found four vulnerable keys. However all these keys had a user ID that did imply they were created for testing.

It is plausible that these keys were not generated by vulnerable implementations, but were manually crafted, possibly by people aware of this attack creating test data.

via Fermat Attack on RSA

また，破られやすい素数の組み合わせとして

How “close” do primes need to be in order to be vulnerable?

With common RSA key sizes (2048 bit) in our tests the Fermat algorithm with 100 rounds reliably factors numbers where p and q differ up to 2^517. In other words it can be said that primes that only differ within the lower 64 bytes (or around half their size) will be vulnerable.

Up to 2^514 it almost always finds the factorization in the first round of the algorithm. It could be argued that the 100 rounds is therefore excessive, however the algorithm is so fast that it practically does not matter much.

via Fermat Attack on RSA

と見積もっている。ちなみに SSH で生成する RSA 鍵については

Is SSH affected?

There are probably no vulnerable SSH implementations creating such keys, though I obviously cannot proove that.

I checked multiple large collections of both SSH host and user keys. I did not find any vulnerable keys.

via Fermat Attack on RSA

なんだそうな。よかったね。

なお，記事の最後では

What do you recommend?

If you are running one of the affected devices you should make sure that you update the devices and regenerate the keys.

If you are in a position where external users will supply public RSA keys to you then you might want to implement checks for this vulnerability. A typical case for this are certificate authorities. I shared the exploit code with certificate authorities and are aware that some have implemented checks in their certificate issuance process to avoid accepting keys vulnerable to this attack.

You can find Let’s Encrypt’s implementation of the check in their Boulder software in this pull request.

via Fermat Attack on RSA

と締めている。今回のケースは暗号製品や CA など暗号鍵を提供・運用する側の問題でユーザ側でできることは殆どないだろうが，とりあえず怪しげな暗号製品は使うなっちうことやね（笑）

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

RSA は砕けない（たぶん？）

2021-03-06T00:33:55+00:00

こっち方面のアンテナがすっかり鈍ってしまって，気付いたのがやっと昨日なのだが

Cryptology ePrint Archive: Report 2021/232 - Fast Factoring Integers by SVP Algorithms

という論文を巡ってちょっとした騒ぎになっていたらしい。いや abstract に This destroys the RSA cryptosystem とか書いてあるもんで，その筋の方々が色めき立っちゃたようだ（笑）

これについて Bruce Schneier 先生も

It does not. At best, it’s an improvement in factoring — and I’m not sure it’s even that.

via No, RSA Is Not Broken - Schneier on Security

とおっしゃっている。論文自体の査読もまだだし，これから要検証という感じ。少なくとも2020年時点で RSA-250 の解読には成功してるんだから，それとの比較で評価できるだろう。

要するに「まだあわてるような時間じゃない」ということだ。まぁ，でも，これから鍵を替えるなら ECC 鍵がいいんじゃないかな（笑）

ブックマーク

参考図書

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

RSA-250 解読完了！

2020-04-09T01:45:03+00:00

2月末の話で申し訳ないが（Bruce Schneier 先生の記事でさっき知ったのだ）， RSA-250 鍵が因数分解され解読完了したらしい。

The total computation time was roughly 2700 core-years, using Intel Xeon Gold 6130 CPUs as a reference (2.1GHz):
RSA-250 sieving:  2450 physical core-years
RSA-250 matrix:    250 physical core-years

via Factorization of RSA-250

実際には何万ものマシンを使って数ヶ月で解読したらしい。

The computation involved tens of thousands of machines worldwide, and was completed in a few months.

via RSA-250 Factored

RSA-240 が解けたのって，つい昨年末なんだけどねぇ（笑） RSA は近い将来，量子コンピュータの一般化を待たずにお払い箱になるんだろうね。

参考図書

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

RSA-240 が解けたらしい

2019-12-07T05:35:56+00:00

“RSA-240 Factored - Schneier on Security” 経由：

RSA challenge list のうち RSA-240 が解けたようだ。

We are pleased to announce the factorization of RSA-240, from RSA's challenge
list, and the computation of a discrete logarithm of the same size (795 bits):

RSA-240 = 124620366781718784065835044608106590434820374651678805754818788883289666801188210855036039570272508747509864768438458621054865537970253930571891217684318286362846948405301614416430468066875699415246993185704183030512549594371372159029236099
        = 509435952285839914555051023580843714132648382024111473186660296521821206469746700620316443478873837606252372049619334517
        * 244624208838318150567813139024002896653802092578931401452041221336558477095178155258218897735030590669041302045908071447

[...]

The sum of the computation time for both records is roughly 4000
core-years, using Intel Xeon Gold 6130 CPUs as a reference (2.1GHz).
A rough breakdown of the time spent in the main computation steps is as
follows.
    RSA-240 sieving:  800 physical core-years
    RSA-240 matrix:   100 physical core-years
    DLP-240 sieving: 2400 physical core-years
    DLP-240 matrix:   700 physical core-years

795-bit factoring and discrete logarithms

なお

The previous records were RSA-768 (768 bits) in December 2009¹, and a 768-bit prime discrete logarithm in June 2016².

It is the first time that two records for integer factorization and discrete logarithm are broken together, moreover with the same hardware and software.

https://documents.epfl.ch/users/l/le/lenstra/public/papers/rsa768.txt ↩︎

https://listserv.nodak.edu/cgi-bin/wa.exe?A2=NMBRTHRY;a0c66b63.1606 ↩︎

via 795-bit factoring and discrete logarithms

だそうな

まぁ，クラウド等を使った安価な分散コンピューティングや実用化されつつある量子コンピュータの台頭により，これから状況は変わっていくだろうけど一応の指標にはなると思う。

ちなみに，セキュリティ強度と鍵長の関係は以下の表の通り（単位は全てビット）。

Security Strength	Symmetric key algorithms	FFC (DSA, DH, MQV)	IFC (RSA)	ECC (ECDSA, EdDSA, DH, MQV)
$\le 80$	2TDEA	$L=1024$ $N=160$	$k=1024$	$f = 160\text{ - }223$
$112$	3TDEA	$L=2048$ $N=224$	$k=2048$	$f = 224\text{ - }255$
$128$	AES-128	$L=3072$ $N=256$	$k=3072$	$f = 256\text{ - }383$
$192$	AES-192	$L=7680$ $N=384$	$k=7680$	$f = 384\text{ - }511$
$256$	AES-256	$L=15360$ $N=512$	$k=15360$	$f=512+$

Comparable security strengths of symmetric block cipher and asymmetric-key algorithms (via SP 800-57 Part 1 Revision 5 5.6.1.1)

更に各セキュリティ強度の有効期限は以下のとおりだ。

Security Strength		Through 2030	2031 and Beyond
$\lt 112$	Applying	Disallowed
$\lt 112$	Processing	Legacy use
$112$	Applying	Acceptable	Disallowed
$112$	Processing	Acceptable	Legacy use
$128$	Applying/Processing	Acceptable	Acceptable
$192$		Acceptable	Acceptable
$256$		Acceptable	Acceptable

Security-strength time frames (via SP 800-57 Part 1 Revision 5 5.6.3)

まぁ今どき1,024ビット以下の鍵長で運用している馬鹿者はおらんじゃろうけど，2030年以降を見据えるならそろそろ RSA や ElGamal/DSA 等の古い公開鍵暗号について見直しを始めるべきなんだろうね。

ブックマーク

暗号鍵関連の各種変数について

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！