Aparentemente, um algoritmo criado por um matemático francês em 1643 é capaz de quebrar diversas chaves criptografadas geradas a partir de softwares antigos em questão de segundos. As descobertas foram feitas pelo pesquisador Hanno Böck como parte de uma investigação mais ampla, que identificou também algumas outras chaves vulneráveis ainda usadas no mercado.
Segundo um relatório inicialmente publicado pela Ars Technica, o objeto de análise foi inicialmente as chaves criptografadas através de um software antigo pertencente a empresa de tecnologia Rambus. O pesquisador descobriu que elas são tão fracas que podem hoje serem decodificadas e quebradas usando hardware comum.
Leia Também
Esse software em questão vem de uma versão básica das SafeZone Crypto Libraries, que foram desenvolvidas por uma empresa chamada Inside Secure e adquiridas pela Rambus ainda em 2019, segundo um representante da companhia de tecnologia. No entanto, essa não é a versão vendida hoje pela empresa.
Não há randomização suficiente
De acordo com Böck, as SafeZone Crypto Libraries são vulneráveis. O ponto fraco? Não há randomização suficiente para os dois números primos usados para gerar as chaves do tipo RSA. Elas podem ser usadas para várias funções, como proteger o tráfego da web, shells e outras conexões online. Na realidade, a ferramenta da SafeZone seleciona um número primo e logo escolhe outro numeral próximo como o segundo necessário para formar a chave.
“O problema é que ambos os primos são muito semelhantes”, disse Böck em entrevista à Ars Technica. “Então a diferença entre os dois números é muito pequena”. No mundo da criptografia, já se sabe há muito tempo que as chaves RSA geradas com primos muito próximos podem ser quebradas facilmente com o método de fatoração de Fermat. O algorítimo do matemático francês Pierre de Fermat foi descrito pela primeira vez ainda em 1643.
Esse método se baseia no fato de que qualquer número ímpar pode ser expresso como a diferença entre dois quadrados. Quando os fatores estão próximos da raiz do número, eles podem ser calculados com facilidade e rapidez. Por outro lado, o método não é viável quando os fatores são verdadeiramente aleatórios e, portanto, distantes.
Até agora, Böck identificou apenas algumas chaves ainda em utilização que são vulneráveis ao ataque de fatoração. Algumas delas são de impressoras de duas fabricantes, Canon e Fujifilm (originalmente da marca Fuji Xerox). Os usuários dessas impressoras podem usar as chaves para gerar uma Solicitação de Assinatura de Certificado. A data de criação de todas as chaves fracas era 2020 ou posterior.
Böck também encontrou quatro chaves PGP vulneráveis, normalmente usadas para criptografar e-mails, em servidores da SKS. Um ID de usuário vinculado às chaves implicava que elas foram criadas para teste, então ele não acredita que elas estejam em uso ativo.
O pesquisador conclui então que nem todas as chaves identificadas como vulneráveis foram geradas usando softwares ou métodos conectados à SafeZone. Se isso for verdade, outros programas do tipo podem estar gerando chaves frágeis ao algoritmo Fermat.
No entanto, essa descoberta não indica que há um grande risco de segurança, principalmente porque nenhuma delas é usada para aplicativos especialmente confidenciais. Ainda assim, é possível que o problema seja maior e que programas ainda não identificados estejam correndo risco.