Nueva técnica permite forjar firmas RSA sin factorizar la clave: qué tan preocupado deberías estar

Un nuevo trabajo criptográfico consiguió algo que durante años se consideró impráctico: forjar firmas RSA sin factorizar primero la clave pública.

El resultado reduce de manera drástica el costo estimado de ataque contra ciertas formas de utilizar RSA y obliga a revisar algunas suposiciones históricas sobre su nivel de seguridad.

Pero antes de borrar certificados o imaginar que internet quedó sin cifrado, hay una precisión fundamental: la técnica no afecta de forma práctica a la mayoría de las implementaciones modernas de RSA.

¿Qué lograron exactamente los investigadores?

El equipo liderado por investigadores de la Universidad de California en San Diego implementó a gran escala una técnica basada en el “special number field sieve”.

Con acceso temporal a un sistema que firma mensajes utilizando RSA sin el tipo de protección habitual, pudieron obtener la capacidad de generar nuevas firmas válidas posteriormente.

Eso equivale, en la práctica, a adquirir una capacidad similar a poseer la clave privada para ese tipo de operación, aunque la clave nunca haya sido factorizada.

¿Por qué esto sorprende a los criptógrafos?

La seguridad de RSA suele explicarse a partir de la dificultad de factorizar números enteros enormes.

Para una clave RSA de 1024 bits, el mejor cálculo conocido de factorización requiere del orden de 500.000 a un millón de años-núcleo de CPU.

En la demostración publicada ahora, los investigadores realizaron la falsificación de firmas con aproximadamente 1.380 años-núcleo.

Sigue siendo mucho cómputo, pero es varios órdenes de magnitud menos de lo esperado para factorizar esa misma clave.

Entonces, ¿RSA está roto?

No.

El ataque necesita algo muy específico: acceso a un “oracle” que permita operaciones RSA crudas o sin padding.

La mayoría de las firmas RSA actuales utiliza esquemas como PKCS#1 v1.5 o RSA-PSS, que incorporan padding y no exponen el tipo de comportamiento que esta técnica necesita.

Los propios autores indican que quienes usan claves RSA de 2048 bits con PKCS o PSS no deberían preocuparse por este ataque concreto.

¿Qué sistemas sí pueden estar expuestos?

El escenario relevante son implementaciones de blind RSA signatures y determinadas interfaces de módulos de seguridad de hardware (HSM) que puedan ofrecer un oracle compatible con la técnica.

Los investigadores mencionan Privacy Pass como un ejemplo de protocolo donde existen construcciones basadas en firmas RSA ciegas.

Eso no implica que todos los despliegues sean explotables inmediatamente. Factores como la rotación frecuente de claves y límites en la cantidad de consultas pueden hacer el ataque mucho más difícil.

Las claves grandes tampoco salen completamente ilesas

La demostración práctica se realizó sobre RSA de 1024 bits, un tamaño que ya se considera obsoleto.

Sin embargo, los investigadores estiman que la nueva técnica reduce también la seguridad teórica de RSA de 2048 y 4096 bits en los escenarios afectados.

Sus cálculos sitúan el trabajo aproximado en 2^90 para 2048 bits y 2^119 para 4096 bits, por debajo de los niveles de seguridad modernos que suelen apuntar a 128 bits o más.

Eso no convierte esos ataques en baratos. Un ataque de 2^90 sigue estando muy lejos de las capacidades ordinarias.

El hallazgo importa aunque mañana nadie sea hackeado

La relevancia del trabajo es conceptual.

Durante décadas se asumió que obtener capacidades equivalentes a una clave RSA exigía esencialmente resolver el mismo problema matemático que factorizarla.

Esta implementación demuestra que, bajo ciertas condiciones, existe otro camino considerablemente más eficiente.

También refuerza una transición que ya estaba ocurriendo: abandonar gradualmente criptografía heredada y avanzar hacia algoritmos modernos y resistentes a futuros computadores cuánticos.

¿Hay que dejar de usar RSA hoy?

Los autores responden que no existe una urgencia inmediata para la mayoría de los usos actuales.

Pero sí creen que, a mediano y largo plazo, el ecosistema debería dejar atrás RSA cuando existan alternativas adecuadas.

La razón ya no es únicamente la computación cuántica. Este trabajo muestra que incluso con computadores clásicos todavía pueden aparecer atajos matemáticos que cambien el margen de seguridad de algoritmos con décadas de historia.

RSA no murió esta semana. Pero su jubilación acaba de recibir otro argumento.