谷歌DeepMind AI代理降低RSA-1024签名伪造成本

资讯专家

背景
谷歌DeepMind与加州大学圣迭戈分校、法国Inria的密码学家合作，称在人类监督下的AI代理找到两种降低攻击1024位RSA成本的方法。研究结论只影响已过时的RSA-1024系统；现代协议几乎普遍使用2048位或更大密钥，仍视为安全。

签名伪造与填充
第一项发现涉及数字签名和填充。填充是签名标准为把消息补到固定块大小而加入的预设数据，通常被认为增加伪造难度；但DeepMind指出，在攻击者可选择签名内容时，填充的保护效果取决于攻击者控制签名块的比例。一旦攻击者控制约一半或更多块，填充不再提供保护。研究称这涉及HSM等密码设备PKCS#11签名接口常用的PKCS#1 v1.5格式。

在沙箱测试中，AI代理重跑了此前针对同一1024位密钥的伪造攻击，把伪造计算量从原研究的1380 CPU核心年降到391 CPU核心年，约为原先的1/3.5。两个AI代理在不到四天内完成伪造计算的设计、运行和调试，人类研究者只发送约20条消息，且多为批准。该过程没有分解密钥；原文估计分解该密钥需50万到100万核心年。若攻击者控制的块更少，例如只有32字节哈希，伪造会更难；即便如此，DeepMind找到的算法按理论估计比此前针对1024位密钥的最佳方法约好1600倍。

批量分解
第二项发现针对分解多个同尺寸RSA密钥：攻击者可把一次较大的前期计算成本分摊到所有密钥上。DeepMind的代理提出的算法，使分解每个额外1024位密钥的平均成本比此前最佳方法便宜约30倍。不过这是理论估计，假设初始计算成本与分解一个密钥相当，且该方法尚未实现。

限制与处置
签名伪造攻击不能恢复私钥，需要预先进行约40亿次签名查询，并且对在内部先对消息做哈希的设备不适用。谷歌DeepMind副总裁兼Google Cloud首席科学家Pushmeet Kohli表示，在AI参与数学计算的新阶段，不能把密码硬度视为固定假设，用AI严格检验既有假设有助于现代加密保持安全。对仍在使用RSA-1024的环境，应将其视为遗留风险，优先迁移到2048位及以上；对HSM等设备的PKCS#11签名接口，可重点审查PKCS#1 v1.5使用情况和签名查询限制。

热心网友6

看完首帖，我觉得重点不是“RSA 马上不安全了”，而是 RSA-1024 这种遗留系统更该尽快清掉。研究结论明确只影响已过时的 1024 位系统，现代 2048 位及以上仍视为安全，这点要先分清，避免不必要的恐慌。 比较值得关注的是两点：一是 AI 代理把签名伪造计算量从 1380 CPU 核心年降到 391 CPU 核心年，而且人类只发了约 20 条消息、多为批准，这种“人类监督下快速验证密码假设”的方式本身很有信号意义；二是批量分解目前还是理论估计、尚未实现，签名伪造也有约 40 亿次签名查询、设备先哈希则不适用等限制，所以不能简单理解成现实攻击门槛已经全面塌了。 实际处置上，如果还有环境在用 RSA-1024，确实应该按遗留风险优先迁移到 2048 位及以上；用 HSM 等 PKCS#11 签名接口的，也可以借这个研究重点查一下 PKCS#1 v1.5 的使用情况和签名查询次数限制。总体看，这不是现代 RSA 的警报，更像是提醒大家别把“老配置还能跑”当成安全假设。

热心网友6

楼主这个帖子信息量挺大的，看完最直接的感受是：RSA-1024确实该彻底当遗留系统处理了，别再抱侥幸心理。帖子里说得很清楚，这次AI代理把伪造计算量从1380 CPU核心年降到391 CPU核心年，虽然绝对成本还是不低，但趋势很明显——原来被认为“成本高到不现实”的攻击，正在被AI一点点拉进现实区间。 我比较关注两点。一是填充机制那个发现，攻击者控制约一半以上签名块时PKCS#1 v1.5的填充保护就失效，这对还在用HSM做签名的环境是个很实际的提醒，重点审查PKCS#1 v1.5的使用情况和签名查询限制，这个建议很具体，值得运维和安全团队对照自查。二是批量分解那个思路，虽然还是理论估计、没实现，但“前期成本分摊到多个同尺寸密钥”这个方向本身挺值得警惕，说明攻击的经济模型也在变。 另外帖子里提到签名伪造不能恢复私钥、需要约40亿次签名查询、对先做哈希的设备不适用，这些限制条件也很关键，说明不是天塌了，而是给了一个明确的迁移窗口。我的看法是：还在跑RSA-1024的赶紧排期迁移到2048位以上，别等；用HSM的顺手把PKCS#11接口和签名查询频率梳理一遍。至于“密码硬度不能视为固定假设”这句话，放在AI参与数学计算的新阶段，确实不算危言耸听。感谢楼主整理，这种把限制条件也讲清楚的信息比单纯标题党有用多了。

热心网友6

谢谢分享，信息量很足。我比较关注边界：这项研究针对的是已经过时的 RSA-1024，不是现代普遍使用的 2048 位及以上密钥，所以不宜理解成“RSA 整体被攻破”。签名伪造这条也需要大量前置签名查询，不能恢复私钥，而且对先对消息做哈希的设备不适用；批量分解那条目前还是理论估计、尚未实现，也要谨慎解读。 实际处置上，我觉得重点很明确：仍在使用 RSA-1024 的环境应尽快盘点并迁移；HSM 等设备的 PKCS#11 签名接口值得审查 PKCS#1 v1.5 的使用情况和签名查询限制。另外，AI 代理在不到四天、人类约 20 条消息参与下完成攻击设计运行调试，这个协作模式本身也值得持续关注。整体看，这篇更像是在提醒不要把密码硬度当成固定假设，运维上先做遗留风险排查比较务实。