پژوهشگران دانشگاه کالیفرنیا، سن‌دیگو و مؤسسه ملی پژوهش در علوم رایانه فرانسه، روشی برای جعل امضاهای RSA در یک ماژول امنیتی سخت‌افزاری پیدا کرده‌اند؛ بدون آن‌که کلید خصوصی از دستگاه خارج شود. این ماژول‌ها همان ابزارهای مقاوم در برابر دست‌کاری هستند که شرکت‌های نگه‌داری دارایی دیجیتال برای محافظت از کلیدها به کار می‌گیرند. با این حال، نتیجه این پژوهش به‌طور مستقیم به امضاهای بیت‌کوین و اتریوم مربوط نمی‌شود، چون این شبکه‌ها از الگوریتم‌های مبتنی بر منحنی بیضوی استفاده می‌کنند، نه RSA.
این گروه یافته‌های خود را در مقاله‌ای که ۲۰ سپتامبر در آرشیو پیش‌چاپ رمزنگاری IACR قرار گرفت، توضیح داده است. به گزارش Decrypt، آزمایش روی یک کلید RSA هزار و ۲۴ بیتی انجام شد و پژوهشگران توانستند بدون استخراج کلید، امضاهای معتبر تولید کنند.
حمله چگونه انجام شد؟
ماژول امنیتی سخت‌افزاری، یا HSM، دستگاهی است که کلید خصوصی را در محیطی جدا و مقاوم در برابر دست‌کاری نگه می‌دارد و در صورت دریافت درخواست، پیام را با همان کلید امضا می‌کند. در طراحی معمول، کلید نباید از دستگاه بیرون بیاید؛ بنابراین حتی اگر سامانه‌ای به ماژول دسترسی داشته باشد، قرار نیست بتواند خود کلید را مشاهده یا کپی کند.
پژوهشگران در این آزمایش از ماژول خواستند حدود ۲ به توان ۳۲، یعنی تقریباً چهار میلیارد، عدد انتخابی آن‌ها را امضا کند. سپس پاسخ‌های دستگاه را با محاسبات ریاضی بررسی کردند تا بتوانند سازوکاری برای ساخت امضای جعلی به دست آورند. در این سناریو، کلید همچنان داخل دستگاه باقی ماند، اما خروجی‌های متعدد ماژول اطلاعات کافی برای جعل امضا فراهم کرد.
برای اجرای آزمایش، حالت FIPS ماژول خاموش شد. FIPS یک تنظیم امنیتی دارای گواهی است و در این آزمایش غیرفعال کردن آن اجازه داد دستگاه اعداد بدون قالب‌بندی استاندارد را امضا کند. همچنین کلید استفاده‌شده، کلید آزمایشی خود پژوهشگران بود؛ نه کلیدی متعلق به یک ارائه‌دهنده خدمات نگه‌داری یا کاربر واقعی.
هزینه محاسباتی این روش نیز بالا بود: اجرای آن به حدود یک‌هزار و ۳۸۰ سال هسته پردازنده نیاز داشت. همین نیاز محاسباتی، در کنار شرایط ویژه آزمایش، باعث شده نویسندگان مقاله بگویند این یافته احتمالاً تهدید عملی فوری برای بیشتر پیاده‌سازی‌های مدرن RSA ایجاد نمی‌کند.
RSA چه تفاوتی با امضای رمزارزها دارد؟
امضای دیجیتال برای اثبات این استفاده می‌شود که دارنده کلید خصوصی یک پیام یا تراکنش را تأیید کرده و محتوای آن در مسیر تغییر نکرده است. RSA یکی از روش‌های ساخت چنین امضاهایی است و نام آن از حروف اول نام‌های رون ریوت، آدی شامیر و لئونارد ادلمن گرفته شده است؛ این روش در سال ۱۹۷۷ معرفی شد.
امنیت RSA معمولاً به دشواری تجزیه حاصل‌ضرب دو عدد اول بسیار بزرگ نسبت داده می‌شود. در این آزمایش، پژوهشگران کلید را تجزیه نکردند، بلکه از نحوه پاسخ‌گویی ماژول به درخواست‌های خاص استفاده کردند. به بیان ساده، دستگاهی که قرار بود فقط با کلید پنهان خود مهر بزند، در شرایط آزمایش به درخواست‌های خام و متعدد پاسخ داد و این پاسخ‌ها امکان بازسازی امضا را ایجاد کردند.
اما بیت‌کوین و اتریوم از RSA استفاده نمی‌کنند. بیت‌کوین برای تراکنش‌ها به الگوریتم امضای دیجیتال منحنی بیضوی، یا ECDSA، متکی است و منحنی آن از امضاهای شنور نیز پشتیبانی می‌کند. اتریوم و بیشتر بلاک‌چین‌های بزرگ نیز از خانواده امضاهای مبتنی بر منحنی بیضوی استفاده می‌کنند. بنابراین ادعای مقاله درباره RSA، به معنای شکستن امضای تراکنش‌های بیت‌کوین یا اتریوم نیست.
چه سامانه‌هایی بیشتر در معرض توجه‌اند؟
امضاهای استاندارد RSA معمولاً پیش از انجام محاسبات، با روش‌هایی مانند PKCS#1 v1.5 یا PSS قالب‌بندی و پَد می‌شوند. نویسندگان مقاله می‌گویند امضاهای دارای این لایه حفاظتی، همان «اوراکل» قابل بهره‌برداری در آزمایش را ایجاد نمی‌کنند. در نتیجه، بیشتر استقرارهای مدرن RSA در برابر این روش، تهدید عملی فوری ندارند.
با این حال، برخی سامانه‌ها عمداً امکان دریافت امضا برای داده‌ای را فراهم می‌کنند که سرویس‌دهنده محتوای آن را نمی‌بیند. یکی از نمونه‌ها امضاهای کور RSA است که در گونه‌ای از Privacy Pass به کار می‌رود. این فناوری به کاربر اجازه می‌دهد ثابت کند یک بررسی، مانند کپچا، را پشت سر گذاشته است، بدون آن‌که هویت او برای سرویس آشکار شود. ریشه‌های امضای کور به کارهای دیوید چام و تأسیس DigiCash در سال ۱۹۸۹ بازمی‌گردد.
اهمیت بلندمدت و تصویر بازار
پژوهشگران نتیجه خود را شواهدی کلاسیک برای حرکت تدریجی away از RSA در دوره گذار پساکوانتومی توصیف کرده‌اند؛ دوره‌ای که سامانه‌ها باید به الگوریتم‌هایی منتقل شوند که در برابر رایانه‌های کوانتومی مقاوم باشند. این بحث جدا از آزمایش حاضر، برای امضاهای منحنی بیضوی نیز مطرح است. پژوهشگران مؤسسه فناوری کالیفرنیا برآورد کرده‌اند اجرای الگوریتم شور، که این نوع امضاها را تهدید می‌کند، ممکن است به ۱۰ هزار تا ۲۰ هزار کیوبیت نیاز داشته باشد. گوگل نیز سال ۲۰۲۹ را به‌عنوان مهلت تکمیل مهاجرت سامانه‌های خود به رمزنگاری پساکوانتومی تعیین کرده است.
در داده‌های بازار Moneyiar در زمان‌های ثبت‌شده، قیمت OriginTrail با نماد TRAC برابر با ۰٫۳۷۶۷۶۶۱۸۴۶ دلار بود؛ این دارایی در ۲۴ ساعت ۱٫۲۵ درصد و در هفت روز ۱۰٫۵۳ درصد رشد داشت. همچنین TAC Protocol با نماد TAC در قیمت ۰٫۰۰۶۵۹۸۴۴۱۷ دلار معامله شد و تغییرات آن به‌ترتیب رشد ۶۹٫۳۵ درصدی در ۲۴ ساعت و ۱۶۶٫۳۶ درصدی در هفت روز بود. زمان ثبت داده TRAC، ۲۵ سپتامبر ۲۰۲۶ ساعت ۲۲:۰۴ به وقت +۰۳:۳۰ و زمان ثبت داده TAC، ۲۷ اوت ۲۰۲۶ ساعت ۰۹:۵۳ به وقت +۰۳:۳۰ است. این ارقام، داده‌های بازار Moneyiar در زمان‌های یادشده‌اند.
