There's a new way to break RSA that's faster than anything we've seen before

有一种突破性方法能更快破解RSA，比以往任何方法都快 - Ars Technica

叩击天堂之门

有一种突破性方法能更快破解RSA，比以往任何方法都快

直到现在，密码学家一直认为因数分解是唯一破解RSA的方法。但现在不是了。

Dan Goodin

–

2026年9月24日 上午7:15

|

74

图片来源：Getty Images

按钮

文字设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化到导航栏

几十年来，世界已知RSA加密系统的日子屈指可数。一旦量子计算变得实用（预计需要3到20年或更长时间），其提供的基础安全性将崩溃。最新研究揭示了一种新方法，利用经典计算将当前RSA安全级别降低到不可接受的阈值。

实际风险有限，但依然显著。针对已弃用的1024位密钥的攻击，仅需学术CPU集群运行数月即可完成，远低于当前对1024位因数分解所需的资源估计（需要只有国家或资源雄厚的公司才能实现的资源）。广泛使用的RSA实现也依然安全。

尽管如此，这项研究令密码学家感到意外，因为它引入了签名伪造，这是一种无需因数分解即可破解RSA密钥的新方法。同样重要的是，这种方法将所需的计算资源减少了多个数量级。

从此触手可及

“Allurity公司创新负责人、密码学专家Karsten Nohl在采访中表示：‘如果这一成果经同行评审后成立，这确实是一个概念性突破。’RSA的破解难度与大整数因数分解一样困难，至少我们以前是这么认为的。研究者指出，实际上你可以不破解密钥就能实际破解RSA。”

加州大学圣地亚哥分校教授、合著者Nadia Heninger补充道：

密码学家曾认为，计算有效的RSA数字签名唯一途径是先通过因数分解计算出私钥，然后使用私钥生成签名。对于1024位RSA，这被认为是非常昂贵的，尽管如果有大型科技公司或NSA的计算资源，可能还是可以实现的——单个密钥的计算时间成本可能高达数千万美元。对于2048位RSA，人们认为这完全不可能实现。

Heninger和其他研究者设计的伪造密钥攻击目前已对1024位RSA完全实用。即使对2048位和4096位密钥，该方法也将RSA安全性降低到不可接受的水平。国家安全局、国家标准与技术研究院和欧洲联盟网络与信息安全局要求任何密码系统提供的安全级别不得低于128位或更高，这意味着所需操作必须超过2^128。

伪造攻击将这些安全级别分别降至1024位、2048位和4096位密钥的2^65、2^90和2^119。这些级别可能进一步下降，因为Heninger团队完全手动编写代码，且在伪造过程中未使用任何AI或GPU。研究者表示，这些工具将“几乎肯定”进一步降低安全级别。

该攻击仅针对RSA的盲签名实现有效。目前绝大多数实际应用的RSA都采用PKCS或PSS填充方案，这种格式在加密前会向明文添加数据。它使密文不再具有确定性，从而降低其受到侧信道攻击及其他类似攻击的脆弱性。然而，一些现实系统仍继续使用盲签名（也称教科书RSA）。Heninger指出，最著名的例子是Privacy Pass，这是一种允许用户在不暴露身份的情况下进行身份验证的协议。Apple和Cloudflare等众多组织都使用该协议。

对Privacy Pass发起攻击需要攻击者从Cloudflare、Apple或其他组织请求2^43次令牌。

Heninger表示，这一要求"听起来数量很大，但与Cloudflare公开声称其每天处理的网络流量规模处于同一数量级"。大多数Privacy Pass实现会定期轮换密钥，这一措施虽然大幅降低了攻击成功的可能性，但并不能完全消除风险。

该技术实现的是2007年发明的数域筛法算法的变种。这种"特殊数域筛法"需要配合"预言机"（oracle），这是某些密码协议的特性，能够对查询输入提供答案。通过执行大量操作，攻击者可以收集足够信息来破解密文。（该技术似乎对采用PKCS或PSS填充的RSA不构成实际威胁，因为它们提供的是不同类型的预言机。）虽然分解一个1024位密钥需要约2^80次操作和50万至100万CPU核心年，但使用筛法伪造签名仅需要（如前所述）2^65次操作和1380核心年。

论文作者和其他研究人员强调，这种新攻击目前对现实世界构成的威胁很小。但它确实大幅降低了RSA的预估安全性，并且采用了一种此前无人知晓的方式。

近年来密码学家们一直在努力设计不受量子计算攻击影响的替代密码系统。这种新攻击将进一步加剧完全摆脱该密码系统的紧迫性。论文作者在此提供了更易理解的解释。

更新说明：已更正主要作者身份。该作者是Laura Shea，同样来自加州大学圣地亚哥分校。

高级安全编辑

Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客、加密和密码等领域的报道。在空闲时间，他喜欢园艺、烹饪和关注独立音乐场景。Dan目前常驻旧金山。您可以通过以下链接关注他：

here

在Mastodon上和

在Bluesky上。您可以通过Signal联系他，联系方式为DanArs.82。

74条评论