研究人员不提取密钥即伪造硬件保险库 RSA 签名：对加密资产意味着什么

发生了什么

据 Decrypt 报道，UC San Diego 与法国 INRIA 的研究人员冒充了一台硬件安全模块（HSM）。HSM 是一种防篡改设备，用于存储私钥，并按请求进行签名。研究人员在密钥从未离开设备的情况下，伪造了一把 1,024 位密钥的 RSA 签名。研究团队在 9 月 20 日提交至 IACR Cryptology ePrint Archive 的论文中详述了这一结果。该论文属于预印本，即尚未经过正式同行评审发表。

Decrypt 同时指出，这次演示有重要前提。研究人员关闭了 HSM 的 FIPS 模式（一种经认证的安全设置），使设备会为未经格式化的数字签名。他们使用的也是自己的测试密钥。据报道，整个过程需要约 40 亿次（约 2^32 次）签名请求，以及 1,380 CPU 核心年的算力。

阅读完整文字说明

消息会先收集来源、独立核查，再交由 Jev 判断。

值得注意的是，据 Decrypt 报道，作者写道：RSA 的安全性一般被理解为建立在“大数分解”的难度之上，但破解 RSA 从未被证明等同于因数分解，而该团队并未分解任何数字。换言之，这不是“RSA 在数学上被破解”，而是在特定设置下滥用签名服务本身。Decrypt 用了一个比喻：一个从不打开的保险库，会给门缝下塞进去的任何白纸盖章；只要请求次数足够多，就能学会自己仿造这枚印章。

加密资产持有人是否受影响

据 Decrypt 报道，Bitcoin 使用 ECDSA 椭圆曲线数字签名算法，其曲线也支持 Schnorr 签名；Ethereum 及大多数较大型区块链也使用同类方式。该论文的主张只涵盖 RSA，因此 Decrypt 明确表示，这并不意味着 Bitcoin 或 Ethereum 被攻破。

不过，事件仍与资产托管方式有关。Decrypt 援引 BitGo 称，机构托管服务商使用 HSM，使密钥永远不会存在于设备之外。这次研究表明，即使密钥从未离开设备，只要设备愿意为任意、未格式化的数据签名，签名能力本身仍可能被滥用。对普通读者而言，重点在于“密钥藏得好”与“签名服务设置得当”同样重要。

哪些系统更值得关注

据 Decrypt 报道，标准 RSA 签名会先进行填充，也就是在签名运算前对数据做打乱和格式化。经过填充的签名不会产生可被利用的“预言机”。这里的“预言机”指一个可以被反复请求、对任意输入给出签名结果的签名服务。不过，有些系统是刻意提供这类签名能力的。基于 RSA 的盲签名可以让服务器在看不到内容的情况下签名，而 Privacy Pass 的其中一个变体正是以此方式运作。

Cloudflare 在其官方博客表示，公司于 2017 年开始支持 Privacy Pass。Apple 在其 Private Access Tokens 系统中使用了某个版本的 Privacy Pass，让用户可以在不透露身份的情况下，证明自己通过了检查（例如 CAPTCHA）。Cloudflare 还指出，相关工作促成了 RSA Blind Signatures（RFC 9474）等标准。Decrypt 的报道并未指出这些系统已被攻破，只是说明盲签名属于需要特别留意的设计类型。

盲签名也与加密货币的历史有渊源：据 Decrypt 报道，密码学家 David Chaum 于 1989 年创立 DigiCash 时就已使用这项技术。

更大的课题：后量子迁移

据 Decrypt 报道，作者将这次结果形容为在后量子迁移期间弃用 RSA 的“经典”（非量子）证据。所谓后量子迁移，是指转向能够抵御量子计算机的密码技术。Decrypt 还提醒，“RSA 被攻破”的标题并非首次出现。2023 年 1 月，曾有中国研究人员声称找到威胁 RSA 的量子方法，但只分解了 48 位数字，专家并不认可。此次演示针对的是实际的 1,024 位密钥，但附带海量签名请求这一重要前提。

对 Bitcoin 而言，据 Decrypt 报道，真正的量子问题在于椭圆曲线签名。Caltech 研究人员于 3 月底估计，10,000 至 20,000 个量子比特可能足以运行 Shor 算法，而这种算法会威胁这类签名。Decrypt 还报道，Google 已将 2029 年定为其自身系统完成向后量子密码迁移的期限。

常见问题

查看同分类最新消息

• 加密货币与区块链