بحث أولي يزوّر توقيعات RSA عبر وحدة أمن عتادية دون استخراج المفتاح
تمكن باحثون من إنتاج توقيعات RSA صحيحة عبر وحدة أمن عتادية من دون استخراج مفتاحها الخاص، لكن التجربة احتاجت نحو أربعة مليارات طلب توقيع وإعداداً اختبارياً عطّل نمط FIPS. ولا تنطبق النتيجة مباشرة على بيتكوين وإيثريوم اللتين تعتمدان توقيعات بالمنحنيات الإهليلجية لا RSA.
أظهر باحثون من جامعة كاليفورنيا في سان دييغو ومعهد INRIA الفرنسي إمكانية إنتاج توقيعات RSA تبدو صادرة عن وحدة أمن عتادية (HSM)، من دون استخراج المفتاح الخاص المخزن فيها. وعرض الفريق النتيجة في مسودة بحثية أودعت أرشيف IACR Cryptology ePrint في 20 سبتمبر.
لا تعني التجربة اختراق بيتكوين أو إيثريوم، ولا تقدم دليلاً على تهديد تشغيلي فوري لمعظم تطبيقات RSA الحديثة. لكنها تختبر حدود فكرة أن بقاء المفتاح داخل العتاد يكفي، بمفرده، لمنع إساءة استخدام قدرات التوقيع.
تجربة مقيدة بمليارات الطلبات وإعداد غير اعتيادي
استهدف البحث مفتاح RSA اختباريًا بطول 1,024 بت يملكه الباحثون. وأرسل الفريق إلى الوحدة نحو 232 طلب توقيع، أو ما يقارب أربعة مليارات طلب، قبل تحليل المخرجات حسابياً لإنتاج توقيعات مزورة. وقدر الباحثون كلفة المعالجة بنحو 1,380 سنة من عمل نواة معالج مركزي.
كما عطلوا نمط FIPS في الوحدة، وهو إعداد أمني معتمد، كي تقبل توقيع أرقام غير منسقة. ووفق المادة المصدرية، كان هذا الشرط ضرورياً لإتاحة نوع المدخلات الذي استند إليه الهجوم.
لم يستخرج الفريق المفتاح الخاص ولم يحلل العدد العام لـRSA إلى عوامله الأولية. بدلاً من ذلك، استغل استجابات جهاز يوقّع قيماً يختارها الباحثون في ذلك الإعداد. ويصف هذا النوع من الواجهة ما يسمى في التشفير «أوراكل التوقيع»: مصدر يمكن الاستعلام منه مراراً للحصول على مخرجات تساعد، في ظروف محددة، على بناء توقيع جديد.
الحشو القياسي يحد من نطاق النتيجة
تستخدم تطبيقات RSA الحديثة عادة طبقة حشو أو تنسيق قبل التوقيع، مثل PKCS#1 v1.5 وPSS. وبحسب الباحثين، لا تنتج التوقيعات المطبقة للحشو القياسي الأوراكل القابل للاستغلال الذي اعتمدت عليه التجربة، ولذلك قالوا إن الهجوم لا يرجح أن يشكل تهديداً تشغيلياً فورياً لمعظم عمليات نشر RSA الحديثة.
ولا ينطبق البحث مباشرة على محافظ العملات المشفرة الكبرى. فبيتكوين وإيثريوم ومعظم الشبكات البارزة تستخدم خوارزميات توقيع بالمنحنيات الإهليلجية، ومنها ECDSA، بينما تدعم بيتكوين أيضاً توقيعات Schnorr. ولم يعرض البحث هجوماً على هذه الخوارزميات أو قدرة على توقيع معاملات بيتكوين أو إيثريوم بلا مفاتيحها الخاصة.
وتوجد حالات تستخدم فيها بروتوكولات مبنية على RSA توقيعات عمياء، تتيح للخادم توقيع رسالة من دون الاطلاع على محتواها، كما في أحد أشكال Privacy Pass. لكن المصدر لا يثبت أن تلك التطبيقات قابلة للاستغلال بالأسلوب نفسه؛ بل يوضح اختلافها عن نمط التوقيع القياسي ويبرز أهمية تقييم كل تنفيذ وإعداد على حدة.
وحدات HSM ليست وحدها محل الاختبار
تستخدم جهات حفظ الأصول الرقمية وحدات HSM للحد من تعرّض المفاتيح للنسخ أو السرقة، عبر إبقائها داخل عتاد مخصص للتوقيع. وتظهر التجربة أن عدم خروج المفتاح من الجهاز لا يمنع بالضرورة إنتاج توقيع مزور إذا اجتمعت خصائص معينة في خوارزمية التوقيع وواجهة الجهاز وإعداداته.
ولا تكفي الدراسة، وحدها، للقول إن وحدات HSM التجارية المنشورة أو الأجهزة العاملة في وضع FIPS معرضة للخطر. فنتيجتها مرتبطة بمفتاح اختباري وإتاحة توقيع خام غير منسق وكلفة طلبات ومعالجة مرتفعة.
ويقدم الباحثون النتيجة بوصفها دليلاً إضافياً لمصلحة الانتقال التدريجي إلى التشفير المقاوم للحوسبة الكمومية، مع أن الهجوم المعروض كلاسيكي ولا يستخدم حاسوباً كمياً. أما المخاطر الكمية التي تناقش عادة في سياق العملات المشفرة فتتصل أساساً بتوقيعات المنحنيات الإهليلجية، وهي مسألة تقنية مختلفة عن RSA في هذه الدراسة.
وتبقى الورقة مسودة منشورة في أرشيف أبحاث التشفير، ولا تشير المعلومات المتاحة إلى أنها خضعت لمراجعة أقران نهائية. لذا ينبغي الفصل بين ما أثبته الفريق في بيئة الاختبار وبين قابلية تكراره في منتجات أو إعدادات تشغيلية أخرى.
اقرأ أيضاً
- هجوم إلكتروني يعطّل خدمات منظمة رصد الشهب لأسابيع
- مانشستر تحيي ذكرى ضحايا هجوم كنيس هيتون بارك وسط مخاوف متزايدة
- سولانا تسرّع إنتاج الكتل 17% من دون زيادة في سعة المعاملات
حول المصدر
المعلومات الأساسية في هذا التقرير مأخوذة من Decrypt.
الانضمام إلى المحادثة