Исследователи представили новый метод атаки на RSA, позволяющий подделывать цифровые подписи без факторизации модуля и восстановления приватного ключа. Для 1024-битных ключей атака уже считается практически реализуемой.

Метод эксплуатирует особенности реализации подписей, а не математическую стойкость самого алгоритма. Это значит, что даже корректно сгенерированный ключ может быть скомпрометирован без перебора множителей.

По заявлениям авторов, стойкость ключей длиной 2048 и 4096 бит также снижается до уровня, который современные стандарты считают недостаточным. Формально алгоритм не взломан, но его практическая надёжность оказывается под вопросом.

Предыстория такова: RSA десятилетиями держится на сложности факторизации больших чисел, и именно на это ориентированы рекомендации по длине ключей. Новая работа показывает, что вектор атаки может лежать вне этой модели угроз.

Реакция сообщества пока сдержанная — многие ждут независимой проверки и воспроизведения результатов. Если данные подтвердятся, регуляторам и разработчикам придётся пересматривать требования к длине ключей и срокам миграции на постквантовые схемы.