forum.opennet.ru - "Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA" (24)

"Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA"	+/–
Сообщение от opennews (??), 29-Сен-26, 14:01
Исследователи из Калифорнийского университета в Сан-Диего разработали усовершенствованную технику атаки на алгоритм RSA, позволяющую подделывать цифровые подписи без факторизации лежащих в основе RSA простых чисел и без необходимости восстановления закрытого ключа. Ресурсы, необходимые для совершения атаки на 1024-разрядный ключ RSA, оценены в 1380 лет вычислений на одном процессором ядре, что на имеющемся университетском кластере позволило за 5 месяцев определить параметры, необходимые для формирования фиктивных RSA-подписие (в эксперименте не использовались AI-ускорители и GPU, при их применении время вычислений может существенно сократиться). Для сравнения классический метод факторизации требует для воссоздания закрытого ключа RSA-1024 от 500 тысяч до миллиона лет вычислений на одном процессором ядре... Подробнее: https://www.opennet.me/opennews/art.shtml?num=66364
Ответить \| Правка \| Cообщить модератору

Оглавление

Ну, всего ничего , Аноним (1), 14:01 , 29-Сен-26, (1) +2

Нет, ну протрояненные алгоритмы на эллиптических кривых намного эффективнее этог, Аноним (3), 14:04 , 29-Сен-26, (3) +1

штош ты ещё все 19млн биткоентов себе не забрал, если оно такое всё протрояненно, Анонисссм (?), 14:25 , 29-Сен-26, (6) +2

Ну их там много разновидностей, это не совпадение Службы СГА контролируют миним, Аноним (3), 14:29 , 29-Сен-26, (7)
А ты попробуй их обналить , Ivan_83 (ok), 15:12 , 29-Сен-26, (18)

хороший тест для hsm-модуля, ага - не сдохнет ли он немножко раньше, где-нибудь , пох.. (?), 14:04 , 29-Сен-26, (4)

4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли 20 лет назад, так и , Аноним (3), 14:03 , 29-Сен-26, (2)

Ты это Линусу расскажи , timur.davletshin (ok), 15:05 , 29-Сен-26, (11)

Когда там наши математики создадут суверенный PQ алгоритм А то уже подгорает , Аноним (5), 14:06 , 29-Сен-26, (5)

Скрыто модератором, Аноним (10), 14:47 , 29-Сен-26, (10) –1

Ну как обычно, только подписи без правильного padding а Значит даже для банальн, А ноним (?), 14:44 , 29-Сен-26, (8) +1

А и да, использовал RSA ключи в 6666 бит уже 15 лет назад , А ноним (?), 14:45 , 29-Сен-26, (9)

то есть точно такая же белка-истеричка как и эти Но грант достался им, а твои 6, пох.. (?), 15:09 , 29-Сен-26, (14)

Да ладно гнать то, DSA уже давно выкинули отовсюду, надо сильно постаратся чтобы, Ivan_83 (ok), 15:11 , 29-Сен-26, (16)

после того как белки-истерички причем те самые что принесли нам два remote root, пох.. (?), 15:17 , 29-Сен-26, (23)

Понимаете, даже если обнаружена атака, решающая 256-битный уровень безопасности , Аноним10084 и 1008465039 (?), 15:06 , 29-Сен-26, (12) –1

Взлом - это когда ты можешь добится компроментации, а не когда кому то привидило, Ivan_83 (ok), 15:10 , 29-Сен-26, (15) +1

Это уже спор о словах На практике это так А с точки зрения математиков любое у, Аноним10084 и 1008465039 (?), 15:13 , 29-Сен-26, (20) –1

ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа н, пох.. (?), 15:11 , 29-Сен-26, (17)

Я не говорил, что числа нельзя подобрать в принципе А только о том, что для иде, Аноним10084 и 1008465039 (?), 15:17 , 29-Сен-26, (22)

нет никакого заданного времени его не существует и никогда не будет но катушка, пох.. (?), 15:21 , 29-Сен-26, (24)

Ну удачи даже с 8192 которые даже гугол у себя в хроме забанить не решился, а по, Ivan_83 (ok), 15:08 , 29-Сен-26, (13)

потому что постквантовая эпоха уже не за горами Вот как наступит - мы неквантов, пох.. (?), 15:12 , 29-Сен-26, (19)

Так и запишем - обновлять RSA ключ, не реже одного раза в пять месяцев, Ydro (?), 15:16 , 29-Сен-26, (21)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 29-Сен-26, 14:01 +2 +/–

>Для определения параметров RSA-1024 достаточно отправить 2^32 подобных запросов
Ну, всего ничего.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #4

2. Сообщение от Аноним (3), 29-Сен-26, 14:03 +/–

4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли 20 лет назад, так и рассчитали, угу. 8к для надёжности, но неудобно из-за высокой цены. И то, оценка была меньше 50 лет секретности.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

3. Сообщение от Аноним (3), 29-Сен-26, 14:04 +1 +/–

Нет, ну протрояненные алгоритмы на эллиптических кривых намного эффективнее этого устаревшего невзламываемого шлака.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6

4. Сообщение от пох.. (?), 29-Сен-26, 14:04 +/–

хороший тест для hsm-модуля, ага - не сдохнет ли он немножко раньше, где-нибудь на 2^20 попытке. (да и для инфраструктурки тоже, которая в упор не увидит проблем что кто-то отправил 2^32 левых запроса)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

5. Сообщение от Аноним (5), 29-Сен-26, 14:06 +/–

Когда там наши математики создадут суверенный PQ алгоритм? А то уже подгорает.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10

6. Сообщение от Анонисссм (?), 29-Сен-26, 14:25 +2 +/–

>протрояненные алгоритмы на эллиптических кривых
штош ты ещё все 19млн биткоентов себе не забрал, если оно такое всё протрояненное?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #7, #18

7. Сообщение от Аноним (3), 29-Сен-26, 14:29 +/–

Ну их там много разновидностей, это не совпадение. Службы СГА контролируют минимум половину биткоинов, возможно, это даже не связано.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

8. Сообщение от А ноним (?), 29-Сен-26, 14:44 +1 +/–

Ну как обычно, только подписи без правильного padding'а. Значит даже для банального SSH с RSA неприменимо. Опять секурнутые на всю голову панику поднимают.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #12

9. Сообщение от А ноним (?), 29-Сен-26, 14:45 +/–

А и да, использовал RSA ключи в 6666 бит уже 15 лет назад.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #14

10. Сообщение от Аноним (10), 29-Сен-26, 14:47 Скрыто ботом-модератором –1 +/–

Отечественная математика самая суеве... суверенная!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

11. Сообщение от timur.davletshin (ok), 29-Сен-26, 15:05 +/–

Ты это Линусу расскажи.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:06 –1 +/–

Понимаете, даже если обнаружена атака, решающая 256-битный уровень безопасности за 2^250 действий - с тз теоретической криптографии это уже взлом (ну облегчение в 2^6 раз может ещё можно списать на мелкие недоработки, но в целом - взлом). Иное дело, что в жизни это будет применить трудно
Или там взломы, где нужны тера и петабайты памяти, чтобы вскрыть быстро.
Просто криптография как наука рассматривает каждый шифр против идеализированной его модели. Большинство алгоритмов оказываются не идеальными, что не означает мгновенной применимости атаки в жизни. Но с тз математики вот так вот

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #15, #17

13. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:08 +/–

> Для 4096-разрядных ключей сложность атаки составляет 2^119 операций, что на практике пока недостижимо, но ниже минимума 2^128
Ну удачи даже с 8192 которые даже гугол у себя в хроме забанить не решился, а потом и обратно разбанил 16384.
Так то конечно теоритическая сугубо тема. Интересно в ближайший месяц ещё будут на RSA набрасывать чтобы всех лемингов пересадить на спасительный постквант, который поди ломается на обычном калькуляторе :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

14. Сообщение от пох.. (?), 29-Сен-26, 15:09 +/–

то есть точно такая же белка-истеричка как и эти. Но грант достался им, а твои 6666 никем не оплачены, вот и бесишься.
Использовал и использую dsa ключ 1k 25 лет. Вероятно я взломан nsa, агентами рептилоидов и моссадом, но через пару часов протрезвею и они все исчезнут.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #16

15. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:10 +1 +/–

Взлом - это когда ты можешь добится компроментации, а не когда кому то привидилось что взломать можно не за миллиард лет а всего за 999 миллионов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #20

16. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:11 +/–

Да ладно гнать то, DSA уже давно выкинули отовсюду, надо сильно постаратся чтобы таким нынче пользоватся :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #23

17. Сообщение от пох.. (?), 29-Сен-26, 15:11 +/–

ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах?
Т.е. по-твоему она вся "взломана" с самого начала.
Ну кроме шифра Шеннона на гарантировано-случайной последовательности из физического датчика.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #22

18. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:12 +/–

А ты попробуй их обналить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

19. Сообщение от пох.. (?), 29-Сен-26, 15:12 +/–

потому что постквантовая эпоха уже не за горами! Вот как наступит - мы неквантовые компьютеры запритим и ваши шифры будут в полной безопастносте!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

20. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:13 –1 +/–

Это уже спор о словах. На практике это так. А с точки зрения математиков любое ускорение, даже такое небольшое - это уже компрометация. Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

21. Сообщение от Ydro (?), 29-Сен-26, 15:16 +/–

Так и запишем - обновлять RSA ключ, не реже одного раза в пять месяцев

Ответить | Правка | Наверх | Cообщить модератору

22. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:17 +/–

> ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах?
Я не говорил, что числа нельзя подобрать в принципе. А только о том, что для идеального шифра они подбирается за время не менее заданного. И если найден путь за менее - это компрометация
> Т.е. по-твоему она вся "взломана" с самого начала.
Нет.
Для идеального блочного шифра задача ставится так, что он должен решаться только полным перебором.
Что касается шифра Шеннона, он неуязвим, при правильно применении, для атак только с шифротекстом, но допустим для атак с известным открытым текстом он уязвим фатальнейше и тривиальнейше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #24

23. Сообщение от пох.. (?), 29-Сен-26, 15:17 +/–

после того как белки-истерички (причем те самые что принесли нам два remote root) выкинули совершенно безопасный sha1 хэш из rsa-ключей (даже если вся мощь рептилоидов и nsa позволит сгенерить второй текст с совпадающим хэшем, что крайне маловероятно что будет на тебя потрачено - есть маленький нюанс: он не будет валидным ключом rsa) даже не озаботившись корректной диагностикой - просто совершенно валидный ключ вдруг перестал работать и сам угадай почему - я озаботился тем чтобы из по крайней мере своих систем их паранойю выпилить раз и навсегда.
У меня еще и cipher none поддерживается, и много чего, что было доступно в прошлые десять лет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

24. Сообщение от пох.. (?), 29-Сен-26, 15:21 +/–

нет никакого "заданного" времени.
> Для идеального блочного шифра задача ставится так, что он должен решаться только полным
> перебором.
его не существует и никогда не будет.
> Что касается шифра Шеннона, он неуязвим
но катушка с ключом будет всегда выдавать в тебе советского разведчика. Две катушки, для надежности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Хоcтинг:

Закладки на сайте
Проследить за страницей

Created 1996-2026 by Maxim Chirkov
Добавить новость, Поддержать

1. Сообщение от Аноним (1), 29-Сен-26, 14:01	+2 +/–
>Для определения параметров RSA-1024 достаточно отправить 2^32 подобных запросов Ну, всего ничего.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #4

2. Сообщение от Аноним (3), 29-Сен-26, 14:03	+/–
4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли 20 лет назад, так и рассчитали, угу. 8к для надёжности, но неудобно из-за высокой цены. И то, оценка была меньше 50 лет секретности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #11

3. Сообщение от Аноним (3), 29-Сен-26, 14:04	+1 +/–
Нет, ну протрояненные алгоритмы на эллиптических кривых намного эффективнее этого устаревшего невзламываемого шлака.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #6

4. Сообщение от пох.. (?), 29-Сен-26, 14:04	+/–
хороший тест для hsm-модуля, ага - не сдохнет ли он немножко раньше, где-нибудь на 2^20 попытке. (да и для инфраструктурки тоже, которая в упор не увидит проблем что кто-то отправил 2^32 левых запроса)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

5. Сообщение от Аноним (5), 29-Сен-26, 14:06	+/–
Когда там наши математики создадут суверенный PQ алгоритм? А то уже подгорает.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

6. Сообщение от Анонисссм (?), 29-Сен-26, 14:25	+2 +/–
>протрояненные алгоритмы на эллиптических кривых штош ты ещё все 19млн биткоентов себе не забрал, если оно такое всё протрояненное?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #7, #18

7. Сообщение от Аноним (3), 29-Сен-26, 14:29	+/–
Ну их там много разновидностей, это не совпадение. Службы СГА контролируют минимум половину биткоинов, возможно, это даже не связано.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

8. Сообщение от А ноним (?), 29-Сен-26, 14:44	+1 +/–
Ну как обычно, только подписи без правильного padding'а. Значит даже для банального SSH с RSA неприменимо. Опять секурнутые на всю голову панику поднимают.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #12

9. Сообщение от А ноним (?), 29-Сен-26, 14:45	+/–
А и да, использовал RSA ключи в 6666 бит уже 15 лет назад.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #14

10. Сообщение от Аноним (10), 29-Сен-26, 14:47 Скрыто ботом-модератором	–1 +/–
Отечественная математика самая суеве... суверенная!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

11. Сообщение от timur.davletshin (ok), 29-Сен-26, 15:05	+/–
Ты это Линусу расскажи.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

12. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:06	–1 +/–
Понимаете, даже если обнаружена атака, решающая 256-битный уровень безопасности за 2^250 действий - с тз теоретической криптографии это уже взлом (ну облегчение в 2^6 раз может ещё можно списать на мелкие недоработки, но в целом - взлом). Иное дело, что в жизни это будет применить трудно Или там взломы, где нужны тера и петабайты памяти, чтобы вскрыть быстро. Просто криптография как наука рассматривает каждый шифр против идеализированной его модели. Большинство алгоритмов оказываются не идеальными, что не означает мгновенной применимости атаки в жизни. Но с тз математики вот так вот
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #15, #17

13. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:08	+/–
> Для 4096-разрядных ключей сложность атаки составляет 2^119 операций, что на практике пока недостижимо, но ниже минимума 2^128 Ну удачи даже с 8192 которые даже гугол у себя в хроме забанить не решился, а потом и обратно разбанил 16384. Так то конечно теоритическая сугубо тема. Интересно в ближайший месяц ещё будут на RSA набрасывать чтобы всех лемингов пересадить на спасительный постквант, который поди ломается на обычном калькуляторе :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #19

14. Сообщение от пох.. (?), 29-Сен-26, 15:09	+/–
то есть точно такая же белка-истеричка как и эти. Но грант достался им, а твои 6666 никем не оплачены, вот и бесишься. Использовал и использую dsa ключ 1k 25 лет. Вероятно я взломан nsa, агентами рептилоидов и моссадом, но через пару часов протрезвею и они все исчезнут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #16

15. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:10	+1 +/–
Взлом - это когда ты можешь добится компроментации, а не когда кому то привидилось что взломать можно не за миллиард лет а всего за 999 миллионов.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #20

16. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:11	+/–
Да ладно гнать то, DSA уже давно выкинули отовсюду, надо сильно постаратся чтобы таким нынче пользоватся :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #23

17. Сообщение от пох.. (?), 29-Сен-26, 15:11	+/–
ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Т.е. по-твоему она вся "взломана" с самого начала. Ну кроме шифра Шеннона на гарантировано-случайной последовательности из физического датчика.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #22

18. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:12	+/–
А ты попробуй их обналить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

19. Сообщение от пох.. (?), 29-Сен-26, 15:12	+/–
потому что постквантовая эпоха уже не за горами! Вот как наступит - мы неквантовые компьютеры запритим и ваши шифры будут в полной безопастносте!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

20. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:13	–1 +/–
Это уже спор о словах. На практике это так. А с точки зрения математиков любое ускорение, даже такое небольшое - это уже компрометация. Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15

21. Сообщение от Ydro (?), 29-Сен-26, 15:16	+/–
Так и запишем - обновлять RSA ключ, не реже одного раза в пять месяцев
Ответить \| Правка \| Наверх \| Cообщить модератору

22. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:17	+/–
> ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Я не говорил, что числа нельзя подобрать в принципе. А только о том, что для идеального шифра они подбирается за время не менее заданного. И если найден путь за менее - это компрометация > Т.е. по-твоему она вся "взломана" с самого начала. Нет. Для идеального блочного шифра задача ставится так, что он должен решаться только полным перебором. Что касается шифра Шеннона, он неуязвим, при правильно применении, для атак только с шифротекстом, но допустим для атак с известным открытым текстом он уязвим фатальнейше и тривиальнейше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #24

23. Сообщение от пох.. (?), 29-Сен-26, 15:17	+/–
после того как белки-истерички (причем те самые что принесли нам два remote root) выкинули совершенно безопасный sha1 хэш из rsa-ключей (даже если вся мощь рептилоидов и nsa позволит сгенерить второй текст с совпадающим хэшем, что крайне маловероятно что будет на тебя потрачено - есть маленький нюанс: он не будет валидным ключом rsa) даже не озаботившись корректной диагностикой - просто совершенно валидный ключ вдруг перестал работать и сам угадай почему - я озаботился тем чтобы из по крайней мере своих систем их паранойю выпилить раз и навсегда. У меня еще и cipher none поддерживается, и много чего, что было доступно в прошлые десять лет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

24. Сообщение от пох.. (?), 29-Сен-26, 15:21	+/–
нет никакого "заданного" времени. > Для идеального блочного шифра задача ставится так, что он должен решаться только полным > перебором. его не существует и никогда не будет. > Что касается шифра Шеннона, он неуязвим но катушка с ключом будет всегда выдавать в тебе советского разведчика. Две катушки, для надежности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22