Eu fatorizei as chaves RSA de uma Autoridade Certificadora dos anos 90

Artigo original ↗ Discussão no Hacker News ↗

Fatorar uma chave RSA de 512 bits de uma autoridade certificadora dos anos 1990 em hardware de consumo moderno destaca o quão fraca a criptografia legada “de exportação” se tornou e levanta questões sobre a confidencialidade de longo prazo do tráfego histórico encriptado. Os comentários contrastam o custo de quebrar chaves RSA de 512, 1024 e 2048 bits, explicam como avanços em algoritmos de fatoração e GPUs tornam o RSA de 1024 bits potencialmente alcançável por atores bem financiados e observam que algoritmos simétricos continuam muito mais resistentes. O tópico também aborda a história da criptografia fraca imposta por governos, a transição para TLS mais forte e pós-quântico, e preocupações com depender de código gerado por IA e implementações TLS personalizadas em trabalhos sensíveis à segurança.

Força da chave RSA e viabilidade da fatoração

  • Vários comentários discutem como a fatoração escala:
    • Chaves simétricas efetivamente dobram o trabalho a cada bit extra; RSA é mais fraco por bit devido à fatoração subexponencial (por exemplo, o General Number Field Sieve).
    • Estimativas citadas: ~2000 anos-GPU para fatorar RSA de 1024 bits; RSA de 2048 bits projetado como centenas de milhares a milhões de anos com as técnicas atuais.
    • RSA de 2048 bits é frequentemente mapeado para ~112 bits de segurança simétrica; RSA de 3072 bits para ~128 bits.
  • Fatorar uma chave de 512 bits em ~2 dias em hardware de consumo é visto como consistente com projeções históricas.
  • Alguns destacam que memória e etapas de matriz, e não apenas computação bruta, são gargalos importantes.

Computação quântica e risco futuro

  • O algoritmo de Shor é mencionado como o fim de jogo teórico para RSA, mas hardware quântico prático com qubits estáveis suficientes é visto como algo muito distante.
  • Alguns sugerem olhar para as tendências de “qubits estáveis” versus o custo do RSA; a interseção não é clara.

TLS, navegadores antigos e criptografia personalizada

  • Bibliotecas TLS modernas removeram SSLv3, client hellos do SSLv2 e cifras de exportação; o autor do artigo implementou uma pilha SSLv3 mínima (RC4, DES/3DES, MD5, SHA‑1) para falar com o Netscape 4.x.
  • Outros descrevem esforços semelhantes para dar suporte a serviços de “retro internet”, muitas vezes exigindo compilações personalizadas do OpenSSL.

Criptografia de exportação e política histórica

  • RSA de exportação de 512 bits e cifras simétricas de 40 bits eram intencionalmente fracas para que agências pudessem decifrá-las.
  • Os espaços de certificados raiz nos navegadores dos anos 1990 eram monetizados, e havia pressão de incumbentes para limitar a concorrência.
  • Alguns lembram regras nacionais (por exemplo, escrow forçado de chaves, limites de tamanho em bits).

Ferramentas de IA (“slop machine”) no fluxo de trabalho

  • Debate sobre o uso de LLMs:
    • Críticos não gostam de terceirizar as partes “interessantes” e alertam para saídas plausíveis, mas não verificáveis.
    • Defensores argumentam que IA é aceitável para etapas intermediárias, não críticas para a segurança, se os resultados finais forem verificados de forma independente.
    • Aparecem atitudes fortemente negativas e fortemente positivas em relação à IA.

RNGs, reinventar a própria criptografia e design de sistemas

  • Sabedoria convencional: não reinventar a própria criptografia; usar RNGs do kernel (getrandom, /dev/urandom).
  • Contraponto: um RNG feito à mão em um projeto de longa duração teria tido zero vulnerabilidades, enquanto bibliotecas amplamente usadas tiveram muitas; o argumento é que contexto e design cuidadoso importam.
  • A discussão toca em restrições POSIX, ambientes chroot e desempenho versus segurança no design de RNGs.

PKI, DNS e alternativas

  • Alguns defendem publicar chaves públicas no DNS (estilo ACME/DNS‑01) e questionam a necessidade de CAs tradicionais.
  • Outros observam que isso desloca a confiança para o DNS e DNSSEC, e que MITM na camada DNS continua sendo uma preocupação.

Vigilância, forward secrecy e tráfego armazenado

  • Há preocupação de que governos possam ter gravado tráfego encriptado histórico para decifrá-lo depois, à medida que a fatoração ou a computação quântica melhorarem.
  • Forward secrecy e a robustez da criptografia simétrica são enfatizadas; estatísticas de implantação de TLS pós-quântico são citadas como encorajadoras.
  • Uma defesa extra proposta: negociar um PSK sobre uma conexão “limpa” e usá-lo para fortalecer sessões futuras, assumindo que o adversário não consegue monitorar tudo.