AI agenti DeepMind zlevnili útoky na staré šifrování RSA-1024

Šifrování RSA patří k nejstarším stavebním kamenům internetu. Stojí na tom, že rozložit velmi velké číslo na prvočísla je mimořádně pracné. Google DeepMind teď oznámil, že jeho AI agenti s lidským vedením našli dvě cesty, jak útoky na zastaralou 1024bitovou variantu RSA zlevnit. Práci 6. listopadu představil viceprezident DeepMind pro vědu Pushmeet Kohli, vedli ji Dj Dvijotham a Abhradeep Thakurta a spolupracovali na ní kryptografové Nadia Heningerová (UC San Diego a Inria) a Emmanuel Thomé (Inria).

Než propadneme panice: všechny dostupné zdroje se shodují, že moderní nasazení RSA s klíči o délce 2048 bitů a více výsledky nijak neohrožují. Americký standard NIST SP 800-131A už 1024bitové klíče pro nové podpisy nepovoluje. Výjimky ale přežívají – například pravidla pro podepisování e-mailů DKIM je stále dovolují, byť doporučují 2048 bitů.

Dvě studie, dva druhy útoku

První pracovní studie se týká padělání podpisů. Ptá se, nakolik chrání takzvaný padding – výplň, kterou se zpráva před podpisem doplní – když útočník může sám volit data, která podepisovací zařízení zpracuje. Podle shrnutí serveru Transclew výplň přestává pomáhat ve chvíli, kdy útočník ovládá zhruba polovinu bloku. Útok však vyžaduje přímý přístup k podepisovacímu rozhraní a miliardy požadavků na podpis; zařízení, která si otisk zprávy počítají sama, se ho netýkají.

Druhá studie míří na hromadnou faktorizaci mnoha klíčů stejné délky. Pokud útočník předem investuje výpočet odpovídající zhruba jedné úplné faktorizaci, každý další 1024bitový klíč by ho podle výpočtů stál asi 1/58 běžné ceny – přibližně třicetkrát méně než dosud nejlepší metoda pro takový rozpočet, která platila od roku 1993. Sami autoři ale přiznávají, že tento postup zatím nikdo neimplementoval. Důkazy podle zdrojů psal jeden agent, druhý je kontroloval a algebru ověřil formální dokazovací systém Lean 4.

Co je změřené a co jen spočítané

Titulková čísla je třeba číst opatrně. Údaj „zhruba 1 600× lepší“ zazněl v Kohliho oznámení s poznámkou, že jde o teoretický odhad; studie samotná uvádí zisk jen jako člen ve vzorci pro náročnost a výslovně píše, že jej v této velikosti nespustila.

Jediný skutečně změřený výsledek je skromnější a zároveň výmluvný. Dva agenti – jeden plánoval a kontroloval, druhý psal kód a spouštěl úlohy – zopakovali známý útok na testovací 1024bitový klíč. Spotřebovali 391 jádro-let procesorového času oproti 1 380 v dřívější studii, tedy zhruba 3,5× méně, a celý běh na až 300 tisících jádrech trval 3,2 dne. Napsali přitom asi 33 500 řádků nového kódu, zatímco lidský výzkumník poslal kolem dvaceti krátkých zpráv, převážně schválení. Sama studie dodává, že jde o zlepšení implementace a provedení, nikoli algoritmu.

Obě práce jsou zatím nerecenzované a do 7. listopadu je podle dostupných zpráv nikdo nezávisle nezopakoval. Komentátoři také upozorňují, že rámování „dvou slabin RSA“ je mediální zjednodušení: nejde o díru v RSA samotném, ale o levnější útoky na už dávno nedoporučovanou délku klíče.

Proč na tom přesto záleží? Bezpečnost kryptografie se neměří tím, co je teoreticky možné, ale kolik útok stojí. Pokud AI agenti dokážou během dnů a s minimem lidských zásahů zrychlit léta trvající kryptoanalytickou práci, musí obránci počítat s tím, že staré systémy stárnou rychleji, než plánovali.