KI SpotlightNewsDeepMind: KI-Agenten verbilligen Angriffe auf 1024-Bit-RSA
Zwei Ergebnisse zu Signaturfälschung und Batch-Faktorisierung. Laut Hersteller bleibt 2048 Bit sicher. Die Primärtexte lagen nicht vor, die Neuheit ist unklar.
Mit KI erstellt◆ Fakten auf einen Blick
- DeepMind kündigte am 6. November 2026 zwei Ergebnisse zu 1024-Bit-RSA an.
- Die Arbeit leiteten Dj Dvijotham und Abhradeep Thakurta; Nadia Heninger und Emmanuel Thomé wirkten extern mit.
- Laut DeepMind betreffen die Ergebnisse nur veraltete 1024-Bit-RSA-Systeme, nicht moderne Protokolle.
- Der Signatur-Angriff betrifft PKCS#1-v1.5-Padding, wenn Angreifer Daten an ein Signiergerät senden.
- Bei 65 kontrollierten Bytes ist CKM_RSA_PKCS laut Autoren nicht schwerer als rohes Signieren.
Google DeepMind hat am 6. November 2026 zwei Ergebnisse zu veraltetem 1024-Bit-RSA veröffentlicht. Das eine verbilligt eine Signaturfälschung gegen PKCS#1-v1.5-Padding. Das andere betrifft das gebündelte Faktorisieren verwandter Moduli.
Angekündigt hat das Unternehmen die Ergebnisse in einem X-Post von Pushmeet Kohli, einer Führungskraft bei DeepMind. Nach Angaben des Unternehmens entstanden beide Fortschritte in wenigen Wochen. KI-Agenten erarbeiteten sie unter menschlicher Anleitung. Die Arbeit leiteten Dj Dvijotham und Abhradeep Thakurta. Als externe Kryptografen sind Nadia Heninger (UC San Diego und Inria) und Emmanuel Thomé (Inria) beteiligt.
Moderne Protokolle, die fast durchweg 2048 Bit oder mehr nutzen, seien nicht betroffen, so Kohli laut den Berichten. Diese Darstellung beruht auf Medienberichten über die Ankündigung. X-Post und Paper lagen der Redaktion nicht im Volltext vor.
Ab 65 von 128 kontrollierten Bytes schützt das PKCS#1-Padding kaum noch
Untersucht wurde ein Angreifer, der beliebige Daten an ein Signiergerät wie ein Hardware-Sicherheitsmodul schicken und die Ausgabe sammeln kann. Entscheidend ist, wie viele der 128 Bytes eines 1024-Bit-Blocks der Aufrufer kontrolliert. Über den PKCS#11-Mechanismus CKM_RSA_PKCS ist das Problem bei 65 Bytes laut den Autoren nicht schwerer als rohes, ungepaddetes Signieren. Ein 64-Byte-Digest wie SHA-512 verhielt sich in den Messungen ähnlich. Bei einem 32-Byte-Digest wie SHA-256 bleibt es schwerer. Dafür nennt der Bericht einen neuen Algorithmus, der die bisher beste Methode verbessert.
Zur Überprüfung reproduzierten die Agenten in einer abgeschotteten Simulation einen RSA-1024-Benchmark-Schlüssel. Frühere akademische Arbeit hatte ihn bereits gelöst. Die Agenten brauchten 3,5-mal weniger CPU-Zeit. Zwei Agenten arbeiteten dafür unter vier Tage und erhielten rund 20 kurze Nachrichten eines menschlichen Forschers. DeepMind meint, Agenten könnten das Stresstesten von Kryptografie beschleunigen. Das ist eine Herstellerangabe. Eine unabhängige Prüfung steht aus.
Offen bleiben die Zahlen zum Batch-Verfahren und die Neuheit gegenüber der UCSD-Arbeit
Zum Batch-Faktorisieren fehlen im vorliegenden Material Kostenzahlen, Hardwareangaben und Vergleiche, etwa mit Batch-GCD oder GNFS. Der Fälschungsansatz selbst ist älter. Joux, Naccache und Thomé beschrieben ihn 2007. Eine UCSD-Gruppe um Laura Shea und Nadia Heninger hat ihn kürzlich erstmals öffentlich umgesetzt, mit etwa 1.380 CPU-Jahren. Diese Autoren sehen darin keine unmittelbare operative Bedrohung der meisten Systeme. Wie weit DeepMinds Beitrag über Bekanntes hinausgeht, lässt sich aus dem Material nicht beurteilen.
Eine Spannung bleibt offen. Die UCSD-Beschreibung hält fest, dass Standard-PKCS#1-v1.5-Schnittstellen das benötigte rohe Orakel nicht liefern. DeepMind betrachtet dagegen Angreifer, die große Teile des Blocks wählen können. Vermutlich unterscheiden sich die Bedrohungsmodelle. Die Angabe „bis zu 1.600-mal schneller“ steht nur in einem Bericht und ohne Bezugsgröße.
Prüfen sollten nach Berichtslage vor allem Betreiber von HSMs und PKCS#11-Schnittstellen, bei denen Dritte Daten zum Signieren einreichen können. Ebenso gilt das für Betreiber von Altsystemen mit 1024-Bit-RSA.
