Pesquisadores forjam assinaturas RSA sem extrair a chave, mas bitcoin e ether não são afetados

Pesquisadores da Universidade da Califórnia em San Diego e de um instituto francês de pesquisa em ciência da computação demonstraram uma maneira de forjar assinaturas RSA dentro de um módulo de segurança de hardware sem precisar extrair a chave privada. O trabalho foi descrito em um artigo enviado ao IACR Cryptology ePrint Archive em 20 de setembro.

Os módulos de segurança de hardware, conhecidos pela sigla HSM, são dispositivos resistentes a violações usados por custodiantes institucionais para proteger chaves criptográficas. No experimento, a chave nunca saiu do aparelho, mas mesmo assim a equipe conseguiu se passar pelo módulo e produzir assinaturas falsas.

O custo do ataque foi alto. Foram necessários cerca de 4 bilhões de pedidos de assinatura e 1.380 anos de processamento de núcleos de CPU. Além disso, os pesquisadores desativaram o modo FIPS do equipamento para que ele aceitasse assinar números sem formatação, e usaram uma chave de teste criada por eles mesmos.

A técnica explora o que os especialistas chamam de vulnerabilidade de oráculo. Um analista explicou a ideia com uma comparação: imagine um cofre que nunca se abre, mas carimba qualquer folha em branco colocada por baixo da porta. Com pedidos suficientes, é possível aprender a fazer o carimbo por conta própria.

Para quem investe em criptomoedas, a conclusão principal é tranquilizadora. A pesquisa não ameaça a segurança do Bitcoin nem do Ethereum. O Bitcoin usa assinaturas baseadas em curvas elípticas, o ECDSA, e também aceita assinaturas Schnorr. O Ethereum e a maioria das grandes blockchains usam o mesmo tipo de esquema. O artigo trata exclusivamente da criptografia RSA.

Mesmo no universo RSA, o risco é limitado. Implementações padrão aplicam uma etapa de preenchimento, chamada de padding, que embaralha e formata os dados antes das operações matemáticas, como os métodos PKCS#1 v1.5 e PSS. Assinaturas com esse tratamento não criam a condição de oráculo explorada no estudo. Os próprios autores afirmam que o ataque provavelmente não representa ameaça operacional imediata para a maioria das implementações modernas.

Há, porém, sistemas que expõem o oráculo de propósito. As assinaturas cegas baseadas em RSA permitem que um servidor assine um conteúdo sem vê-lo. O protocolo Privacy Pass usa esse recurso, e, segundo a Cloudflare, a Apple adota uma versão dele para que usuários comprovem ter resolvido um CAPTCHA sem revelar a identidade. A técnica de assinaturas cegas foi criada pelo criptógrafo David Chaum, que fundou a DigiCash em 1989.

Não é a primeira vez que o RSA aparece em manchetes sobre quebras. Em janeiro de 2023, pesquisadores chineses afirmaram que métodos quânticos ameaçavam o algoritmo, mas só fatoraram números de 48 bits, e a alegação foi descartada por especialistas. Desta vez, a demonstração usou uma chave real de 1.024 bits, ainda que com limitações importantes.

Os autores apresentam os resultados como mais um argumento para abandonar o RSA durante a transição para a criptografia pós-quântica. No caso do Bitcoin, a ameaça quântica recai sobre as assinaturas de curvas elípticas: pesquisadores do Caltech estimaram em março que entre 10 mil e 20 mil qubits poderiam bastar para executar o algoritmo de Shor. O Google definiu 2029 como prazo para concluir sua migração pós-quântica.