Google DeepMind reduz custo de ataque a RSA legado de 1024 bits
Agentes de IA do Google DeepMind reproduziram, com 3,5 vezes menos CPU que o trabalho original, um cálculo de ataque a RSA de 1024 bits, e os autores dizem que os resultados não ameaçam RSA de 2048 bits ou mais.
Pontos principais
- A reprodução de 1024 bits levou 391 anos de núcleo de CPU para a primeira raiz, contra 1.380 da computação original de Shea, Haller, Suhl, Heninger e Thomé.
- Dois agentes de IA cooperando projetaram, executaram e depuraram essa computação em menos de quatro dias.
- No formato PKCS#1 v1.5, se o chamador controla mais da metade do bloco ou envia um digest de 64 bytes em 1024 bits, o problema não é mais difícil que o caso sem restrição de formato; com digest de 32 bytes, continua mais difícil.
- Na estimativa de nível principal, sem implementação feita, cada inteiro seguinte de 1024 bits custaria cerca de 1/58 de uma execução do GNFS, 30 vezes menos que com o MNFS.
Pesquisadores do Google DeepMind, com colegas da UC San Diego e de Stanford, nos Estados Unidos, e do Inria, na França, estudaram o custo de calcular raízes RSA depois de acesso temporário à interface de assinatura de um dispositivo criptográfico. Segundo os autores, o trabalho não recupera chaves, e o custo depende de quanto do bloco o chamador consegue controlar.
O ataque exige chamadas diretas à interface, com cerca de 4 bilhões de consultas feitas antes de conhecer o alvo, e o maior tamanho já calculado com esse método é 1024 bits, que as diretrizes atuais não aprovam mais para gerar assinaturas. Os autores afirmam que os resultados não ameaçam sistemas RSA de 2048 bits ou mais. O segundo trabalho, sobre fatoração em lote, teve provas geradas por um modelo de IA e checadas por outro.
Fontes primárias
Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation (working paper)
Working paper de Dvijotham, Heninger, Thomé, Kohli e coautores (Google DeepMind, com UC San Diego e Inria). No esquema PKCS#1 v1.5 (mecanismo CKM_RSA_PKCS), se o dado variável ocupar mais da metade do bloco, ou um digest de 64 bytes em 1024 bits, o problema não é mais difícil que o do oráculo irrestrito; com digest de 32 bytes, continua mais difícil. O custo de uma raiz no problema afim cai de L[1,8171] para L[1,5803] com a fase offline incluída, e se aproxima de L[1,3867] com fase offline maior. Os autores reproduzem a computação de 1024 bits de Shea, Haller, Suhl, Heninger e Thomé: a primeira raiz levou 391 core-years de CPU, contra 1.380 no trabalho original (3,5 vezes menos), com o mesmo algoritmo, polinômios e limites. Dois agentes de IA projetaram, executaram e depuraram a computação em menos de quatro dias. Segundo os autores, os resultados não ameaçam RSA de 2048 bits ou mais.
Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS (working paper)
Working paper datado de 5 de novembro de 2026, dos mesmos autores. Propõe que cada inteiro tenha sua própria família (fan) de corpos de números, alimentada por um lado racional pré-computado e compartilhado. Com orçamento de pré-computação equivalente a uma execução do GNFS, cada inteiro seguinte custa L[1,793], contra L[1,9019] do MNFS, a melhor marca conhecida desde 1993 sem pré-computação. Nas estimativas de nível principal para 1024 bits (termos o(1) zerados), cada inteiro adicional custa cerca de 1/58 de uma execução do GNFS, 30 vezes menos que o MNFS. Em lotes sem pré-computação, o ganho no expoente é de no máximo 0,018. São estimativas assintóticas, não tempos de execução previstos, e o artigo não fatora nenhuma chave concreta. As identidades algébricas são verificadas em Lean 4; as provas foram geradas por um modelo de IA e verificadas por outro.
Cobertura da mídia
@pushmeet: The @GoogleDeepMind Science team is sharing two key cryptographic advances today uncovering weaknesses in legacy 1024-bit RSA schemes.
x.com • 6 nov, 14:14
@GoogleDeepMind: We’re sharing new research demonstrating how AI agents can accelerate the science of stress-testing encryption.
x.com • 6 nov, 14:20
Comentários (0)
Seja o primeiro a comentar.