Исследование и обнаружение слабых RSA-ключей с множеством нулевых блоков

Недавние исследования выявили новый класс уязвимых RSA-ключей – ключи, содержащие большое количество нулевых блоков. Удивительно, но такие слабые ключи уже активно используются в реальном мире.

Как были обнаружены слабые ключи?

Проект badkeys представляет собой открытый сервис, предназначенный для проверки публичных ключей на известные уязвимости. В процессе разработки этого инструмента, исследователь Ханно (Hanno) собрал огромную базу реальных ключей из различных публичных источников. Среди них – логи Certificate Transparency, результаты широкомасштабных сканирований TLS и SSH в интернете, ключи PGP и многие другие данные. Проанализировав этот массив данных на предмет необычно "разреженных" модулей RSA, команда обнаружила большое количество активно используемых ключей с определёнными уязвимыми шаблонами.

Характеристики уязвимых шаблонов и их распространение

Оба выявленных шаблона включают несколько регулярно расположенных блоков, полностью состоящих из нулей, перемежающихся с кажущимися случайными данными.

• Шаблон 1: Был обнаружен в логах Certificate Transparency для сертификатов, выпущенных нескольким крупным организациям, включая Yahoo и Verizon, а также на некоторых устройствах, использующих программное обеспечение NetApp. К счастью, эти сертификаты уже истекли, но исследователи всё равно поделились своими выводами с упомянутыми компаниями.
• Шаблон 2: Появляется на SSH-хостах, работающих под управлением программного обеспечения CompleteFTP от EnterpriseDT. Эта уязвимость затрагивает RSA-ключи, сгенерированные в версиях 10.0.0–12.0.0 (декабрь 2016 г. – март 2019 г.), и DSA-ключи, сгенерированные в версиях 10.0.0–23.0.4 (декабрь 2016 г. – декабрь 2023 г.).

Значение открытия

Хотя эти уязвимости затрагивают лишь небольшую часть хостов в интернете, более важный вывод заключается в том, что независимые криптографические реализации потерпели неудачу схожим образом. Это указывает на возможность того, что аналогичные ошибки могут присутствовать и в других реализациях. Следовательно, имеет смысл разрабатывать криптоаналитические алгоритмы, специально адаптированные для этого конкретного типа криптографического отказа.