Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA"	+/–
Сообщение от opennews (??), 29-Сен-26, 14:01
Исследователи из Калифорнийского университета в Сан-Диего разработали усовершенствованную технику атаки на алгоритм RSA, позволяющую подделывать цифровые подписи без факторизации лежащих в основе RSA простых чисел и без необходимости восстановления закрытого ключа. Ресурсы, необходимые для совершения атаки на 1024-разрядный ключ RSA, оценены в 1380 лет вычислений на одном процессором ядре, что на имеющемся университетском кластере позволило за 5 месяцев определить параметры, необходимые для формирования фиктивных RSA-подписие (в эксперименте не использовались AI-ускорители и GPU, при их применении время вычислений может существенно сократиться). Для сравнения классический метод факторизации требует для воссоздания закрытого ключа RSA-1024 от 500 тысяч до миллиона лет вычислений на одном процессором ядре... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66364
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 29-Сен-26, 14:01	+3 +/–
>Для определения параметров RSA-1024 достаточно отправить 2^32 подобных запросов Ну, всего ничего.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #4

2. Сообщение от Аноним (3), 29-Сен-26, 14:03	+/–
4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли 20 лет назад, так и рассчитали, угу. 8к для надёжности, но неудобно из-за высокой цены. И то, оценка была меньше 50 лет секретности.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

3. Сообщение от Аноним (3), 29-Сен-26, 14:04	+2 +/–
Нет, ну протрояненные алгоритмы на эллиптических кривых намного эффективнее этого устаревшего невзламываемого шлака.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6

4. Сообщение от пох.. (?), 29-Сен-26, 14:04	+2 +/–
хороший тест для hsm-модуля, ага - не сдохнет ли он немножко раньше, где-нибудь на 2^20 попытке. (да и для инфраструктурки тоже, которая в упор не увидит проблем что кто-то отправил 2^32 левых запроса)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #29

5. Сообщение от Аноним (5), 29-Сен-26, 14:06	+/–
Когда там наши математики создадут суверенный PQ алгоритм? А то уже подгорает.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #26

6. Сообщение от Анонисссм (?), 29-Сен-26, 14:25	+4 +/–
>протрояненные алгоритмы на эллиптических кривых штош ты ещё все 19млн биткоентов себе не забрал, если оно такое всё протрояненное?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #7, #18

7. Сообщение от Аноним (3), 29-Сен-26, 14:29	+/–
Ну их там много разновидностей, это не совпадение. Службы СГА контролируют минимум половину биткоинов, возможно, это даже не связано.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

8. Сообщение от А ноним (?), 29-Сен-26, 14:44	+1 +/–
Ну как обычно, только подписи без правильного padding'а. Значит даже для банального SSH с RSA неприменимо. Опять секурнутые на всю голову панику поднимают.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #12

9. Сообщение от А ноним (?), 29-Сен-26, 14:45	+/–
А и да, использовал RSA ключи в 6666 бит уже 15 лет назад.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #14

10. Сообщение от Аноним (10), 29-Сен-26, 14:47    Скрыто ботом-модератором	+1 +/–
Отечественная математика самая суеве... суверенная!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

11. Сообщение от timur.davletshin (ok), 29-Сен-26, 15:05	+/–
Ты это Линусу расскажи.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #39

12. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:06	–1 +/–
Понимаете, даже если обнаружена атака, решающая 256-битный уровень безопасности за 2^250 действий - с тз теоретической криптографии это уже взлом (ну облегчение в 2^6 раз может ещё можно списать на мелкие недоработки, но в целом - взлом). Иное дело, что в жизни это будет применить трудно Или там взломы, где нужны тера и петабайты памяти, чтобы вскрыть быстро. Просто криптография как наука рассматривает каждый шифр против идеализированной его модели. Большинство алгоритмов оказываются не идеальными, что не означает мгновенной применимости атаки в жизни. Но с тз математики вот так вот
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #15, #17

13. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:08	+/–
> Для 4096-разрядных ключей сложность атаки составляет 2^119 операций, что на практике пока недостижимо, но ниже минимума 2^128 Ну удачи даже с 8192 которые даже гугол у себя в хроме забанить не решился, а потом и обратно разбанил 16384. Так то конечно теоритическая сугубо тема. Интересно в ближайший месяц ещё будут на RSA набрасывать чтобы всех лемингов пересадить на спасительный постквант, который поди ломается на обычном калькуляторе :)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

14. Сообщение от пох.. (?), 29-Сен-26, 15:09	+/–
то есть точно такая же белка-истеричка как и эти. Но грант достался им, а твои 6666 никем не оплачены, вот и бесишься. Использовал и использую dsa ключ 1k 25 лет. Вероятно я взломан nsa, агентами рептилоидов и моссадом, но через пару часов протрезвею и они все исчезнут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #16

15. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:10	+/–
Взлом - это когда ты можешь добится компроментации, а не когда кому то привидилось что взломать можно не за миллиард лет а всего за 999 миллионов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #20

16. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:11	+/–
Да ладно гнать то, DSA уже давно выкинули отовсюду, надо сильно постаратся чтобы таким нынче пользоватся :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #23

17. Сообщение от пох.. (?), 29-Сен-26, 15:11	+/–
ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Т.е. по-твоему она вся "взломана" с самого начала. Ну кроме шифра Шеннона на гарантировано-случайной последовательности из физического датчика.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #22

18. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:12	+/–
А ты попробуй их обналить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #41

19. Сообщение от пох.. (?), 29-Сен-26, 15:12	–1 +/–
потому что постквантовая эпоха уже не за горами! Вот как наступит - мы неквантовые компьютеры запритим и ваши шифры будут в полной безопастносте!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

20. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:13	+/–
Это уже спор о словах. На практике это так. А с точки зрения математиков любое ускорение, даже такое небольшое - это уже компрометация. Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #28, #30

21. Сообщение от Ydro (?), 29-Сен-26, 15:16	+/–
Так и запишем - обновлять RSA ключ, не реже одного раза в пять месяцев
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

22. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:17	–1 +/–
> ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Я не говорил, что числа нельзя подобрать в принципе. А только о том, что для идеального шифра они подбирается за время не менее заданного. И если найден путь за менее - это компрометация > Т.е. по-твоему она вся "взломана" с самого начала. Нет. Для идеального блочного шифра задача ставится так, что он должен решаться только полным перебором. Что касается шифра Шеннона, он неуязвим, при правильно применении, для атак только с шифротекстом, но допустим для атак с известным открытым текстом он уязвим фатальнейше и тривиальнейше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #24

23. Сообщение от пох.. (?), 29-Сен-26, 15:17	+/–
после того как белки-истерички (причем те самые что принесли нам два remote root) выкинули совершенно безопасный sha1 хэш из rsa-ключей (даже если вся мощь рептилоидов и nsa позволит сгенерить второй текст с совпадающим хэшем, что крайне маловероятно что будет на тебя потрачено - есть маленький нюанс: он не будет валидным ключом rsa) даже не озаботившись корректной диагностикой - просто совершенно валидный ключ вдруг перестал работать и сам угадай почему - я озаботился тем чтобы из по крайней мере своих систем их паранойю выпилить раз и навсегда. У меня еще и cipher none поддерживается, и много чего, что было доступно в прошлые десять лет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #27

24. Сообщение от пох.. (?), 29-Сен-26, 15:21	+/–
нет никакого "заданного" времени. > Для идеального блочного шифра задача ставится так, что он должен решаться только полным > перебором. его не существует и никогда не будет. > Что касается шифра Шеннона, он неуязвим но катушка с ключом будет всегда выдавать в тебе советского разведчика. Две катушки, для надежности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #25

25. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:28	+/–
> нет никакого "заданного" времени. Для идеального блочного шифра у нас есть длина ключа. И ключ должен находится только полным перебором, то есть в худшем случае за 2^{длина ключа} > его не существует и никогда не будет. Видимо. Вообще говоря, модель идеального блочного шифра есть и даже теоретически ее реализация не запрещена физикой. Модель эта состоит в следующем: шифр - это оракул, который ведёт огромную таблицу, сопоставляя открытому тексту и ключу шифротекст. Когда к нему впервые приходит открытый текст и ключ, он генерирует случайную строку (чтобы без повторений) и запоминает ее в качестве ответа. Дальше он всегда ее возвращает. Физикой это не запрещено, но, конечно, неюзабельно никак. А может ли детерминированный алгоритм быть неотличим от идеального блочного шифра - вероятно нет. В жизни, конечно, интереснее, насколько его сумеют математики "отличить от идеального блочного шифра". Если ненамного, то пойдёт, для практики взлома нет. Если намного - то тогда да, это уже взлом и для практиков (было в 90-е пару алгоритмов, которые чуть ли не закрытым текстам ломались, FEAL кажись)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #31

26. Сообщение от Аноним (26), 29-Сен-26, 15:41    Скрыто ботом-модератором	–6 +/–
Русские по определению ничего создавать не умеют.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #33

27. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:56	+/–
О хоспаде. Меня на работе инженеры этим нейрослопом задолбали, теперь и ты тут. > sha1 хэш из rsa-ключей Есть RSA ключ и на этом всё. ssh-rsa, rsa-sha2 - это то как RSA ключ используется при аутентификации в SSH протоколе. Притом, чтоб ты знал, rsa-sha2 прилепили сбоку на изолетнте и OpenSSH клиент узнаёт о том что такой метод доступен только из дополнительного ssh пакета/сообщения, которое встроили относительно костыльным образом в начальную стадию. ssh-rsa нынче просто отключили на уровне дефолтов в конфигах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #43

28. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:58	+/–
Если ты хочешь понейрослопить дальше - на здоровье. Для всех текущих криптоалгоритмов есть исследования которые ускоряют взлом брутом, и для AES, chacha и для прочих что в обиходе. Для гостовой стрибог так 512 уменьшили до 260 бит вообще. И никто их не выкинул и не принзнал взломом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #34

29. Сообщение от User (??), 29-Сен-26, 16:05	+/–
Ну, тут основная мулька вот в чем: > Метод применим только для RSA-подписей, в которых не используется форматирование и добавочное заполнение перед шифрованием (padding). нуивот - на практике оно не встречается от слова "совсем". Нигде. Никак.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #37

30. Сообщение от Аноним (30), 29-Сен-26, 16:06	–1 +/–
> Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает Ошибка, идеальный шифр не ломается даже брутфорсом - свойство неотличимости!!! Одноразовый блокнот (случайная перестановка) - идеальные шифры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #35

31. Сообщение от Аноним (30), 29-Сен-26, 16:08	+/–
> Дальше он всегда ее возвращает. Это уже слабость!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

32. Сообщение от Аноним (30), 29-Сен-26, 16:09	+/–
заруби лучше, использования одной ключевой пары для подписания ровно одного блока!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

33. Сообщение от Аноним (10), 29-Сен-26, 16:10	+/–
Кто создал балалайку? А лапти? Вот то-то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #40

34. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:14	+/–
Уж и не знаю, за комплимент ли считать эти обвинения в нейрослопе. Но нет, я читал это в книгах Шнайера, причем довольно давно > Для всех текущих криптоалгоритмов есть исследования которые ускоряют взлом брутом, <...> И никто их не выкинул и не принзнал взломом. С этим я не спорю, для практики это не взлом. Спорю я лишь с набросами на теоретическую криптографию, подогреваемыми журналистскими кликбейтпми, в духе "опять они раздувают панику, нашли 'взлом' за 999 млн. лет вместо 1 млрд., зря пугают, занимались бы чем полезным". Именно в том и смысл теоретической криптографии, искать любые возможности взламывать быстрее полного перебора. Некоторые из таких атак, быть может, разовьют и в реальный взлом, кто знает... Именно в этом и сила, и суть, и изящество академической криптографии А так главная слабость обычно далеко не в криптографии, о чем тот же Шнайер писал в книгах очень давно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #42

35. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:16	+/–
Речь шла про идеальный блочный шифр, это немного другой зверь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #36

36. Сообщение от Аноним (30), 29-Сен-26, 16:19	+/–
> Речь шла про идеальный блочный шифр, это немного другой зверь это ровно все тот же зверь. Неотличимость как раз таки главное свойство блочного шифра.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #38

37. Сообщение от пох.. (?), 29-Сен-26, 16:28	+/–
ну хрен знает. То есть на практике это не ssh. А где у нас еще может быть голый rsa - попробуй угадай...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

38. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:31	+/–
В одноразовом блокноте идеальная секретность достигается за счёт случайного ключа, равного длине сообщения и используемого один раз. А вот в идеальном блочном шифре ключ ограниченной длины. Если он равен или больше длины блока, тогда шифротекст одного блока, конечно, не даст информации о содержимом этого конкретного блока. Но практический смысл блочного шифра как раз в том, чтобы разбить текст на блоки и зашифровать их ключом, который меньше длины сообщения. И идеальной секретности тут достигнуть не получится. А если шифровать каждый блок своим совершенно случайным ключом, то это уже тот же одноразовый блокнот получится
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

39. Сообщение от пох.. (?), 29-Сен-26, 16:35	+/–
> Ты это Линусу расскажи. ну бросился же он (во всяком случае - одобрил) следом за белками-истеричками переделывать хэши в гите. Хотя тоже, казалось бы, попробуй сгенери что-то такое что имело бы совпадающий хэш, выполняло бы задуманную функцию и попутно еще было трояном (или мы чо, зря что ли старались?), и при этом не выглядело бы так что за километр видно (типа метровой длинны комментария из выглядящих рандомно символов для набора нужной энтропии... впрочем наверное и так тоже не выйдет, это подобрать невозможно. можно только заменить комит полной некомпилируемой бнопней) В том и смысл всех (не только крипто) хэшей - похожие данные определенно где-то в юниверсуме существуют, но чем больше данные похожи - тем больше различается их хэш. При существовании мильентыщ способов просто закомитить что-нибудь в репо без всей этой криптобредятины без всякого палева.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

40. Сообщение от пох.. (?), 29-Сен-26, 16:37	+/–
> Кто создал балалайку? А лапти? Вот то-то. кстати, тут сообщают, что оказывается писать на березой коре первыми додумались какие-то индусы! Надо бы на всякий случай провести трехдневную спецоперацию в бангалоре! Чтоб гадов отучить дискредитировать!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

41. Сообщение от Аноним (41), 29-Сен-26, 16:38	+/–
Ты не переживай, были бы биткоины, а как обналичить придумаем. Только сдаётся мне что главная проблема немножечко не в этом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

42. Сообщение от Ivan_83 (ok), 29-Сен-26, 16:40	+/–
> Но нет, я читал это в книгах Шнайера, причем довольно давно Проблема большинства людей в том, что они считают аксиомой и истиной любую прочитанную в книге чушь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #44

43. Сообщение от пох.. (?), 29-Сен-26, 16:42	+/–
> Есть RSA ключ и на этом всё. > ssh-rsa, rsa-sha2 - это то как RSA ключ используется при аутентификации в > SSH протоколе. но если тебе не повезло - твой rsa ключ - сегодня не ключ. В этом, собственно, посыл. При том что ты в ключе ничего не менял и он по прежнему валиден. > Притом, чтоб ты знал, rsa-sha2 прилепили сбоку на изолетнте и OpenSSH клиент но отклеить эту изоленту оказалось непросто даже с помощью ыы (по большей части я выкинул всю ту бредятину не разбираясь, решив что чинить это я не буду, проще с неправильного клиента использовать не-rsa ключи) > ssh-rsa нынче просто отключили на уровне дефолтов в конфигах. нет. это ты сидишь на ос написанной ретроградами для ретроградов. у них и none очень долго еще работал, когда его больше уже нигде не было. А в единственноправильном ssh уже нет такого оверрайда, надысь в новом-модном де6иллиане напоролся. Что и сподвигло раскатать свою кривую поделку вместо кривой подделки хотя бы по своим хостам. Причем не нейрослоп какой, судя по мешанине в коде - органик 100%!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

44. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:49	+/–
Это правда. Только если вы этим на что-то намекаете, то не совсем ясно зачем. У нас с вами единственный камень преткновения в этой ветке был о смысле слова "взлом", практический ли рассматривать или академический/теоретический. Но даже если вы за практический - вы ж не будете спорить, что академическая теоретическая криптография не нужна?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема