Product Details - 阵容搭配
据阿尔斯科技（Ars Technica）2026年9月24日报道，加州大学圣迭戈分校的研究团队发现了一种全新的RSA密钥伪造攻击方法，无需传统因子分解即可破解RSA加密。该攻击将1024位密钥的安全等级从2^80骤降至2^65，仅需1,380核心年即可完成伪造，而传统因子分解需要50万至100万核心年。这一发现打破了密码学界沿袭数十年的认知，引发全球密码学界震动。
豪门恩怨全新攻击方法：特殊数域筛法变体
研究团队利用2007年由瑞士联邦理工学院提出的“特殊数域筛法”（SNFS）变体，结合盲签名协议中的“预言机”特性，实现了对RSA数字签名的高效伪造。与传统的因子分解路径不同，攻击者无需恢复私钥，而是通过大量查询预测机（Oracle）收集足够信息，直接计算出有效签名。项目负责人纳迪娅·赫宁格（Nadia Heninger）表示：“密码学家此前认为，计算有效RSA数字签名唯一的方式是先通过因子分解获得私钥，再使用私钥生成签名。这种新方法绕过了私钥因子分解这一步。”这项技术大幅降低了计算成本：1024位密钥的因子分解需要约2^80次操作，而伪造签名仅需2^65次操作，计算效率提升超过3万倍。
豪门婚礼哪些RSA实现面临风险？
该攻击仅影响采用“盲签名”（亦称教科书式RSA）的实现。盲签名是一种不添加额外填充的原始RSA方案，目前仍被部分现实系统使用，其中最著名的实例是隐私通行证（Privacy Pass）协议。该协议允许用户在不暴露身份的情况下进行身份验证，被苹果、Cloudflare等公司广泛采用。针对Privacy Pass的攻击需要攻击者向服务商请求2^43个令牌，赫宁格指出这一数量“听起来很大，但约等于Cloudflare一天处理的网络流量规模”。幸运的是，绝大多数RSA实现采用PKCS#1 v1.5或PSS填充，这些填充方案会破坏预言机所需的攻击条件，因此不受该漏洞影响。密码学专家卡斯滕·诺尔（Karsten Nohl）强调：“该攻击给使用盲签名的系统敲响了警钟，但并不会威胁到日常使用的TLS/SSL加密。”
嫁入豪门安全等级断崖式下降：数据对比
下表展示了不同密钥长度在攻击前后的安全等级变化：
豪门媳妇| 密钥长度 | 原安全等级（因子分解难度） | 攻击后安全等级 | 预计计算成本（核心年） |
|---|
| --------- | --------------------------- | --------------- | ---------------------- |
|---|
| 1024位 | 约2^80 | 2^65 | 1,380 |
|---|
| 2048位 | 约2^112 | 2^90 | 约500万 |
|---|
| 4096位 | 约2^128 | 2^119 | 数千万 |
|---|
美国国家标准与技术研究院（NIST）和欧盟网络安全局（ENISA）的安全指南要求密码系统达到至少128位安全等级，而攻击后4096位密钥仅剩2^119，已低于安全阈值。更令人担忧的是，研究团队所有代码均为手工编写，未使用AI或GPU优化，赫宁格表示这些工具“几乎必然”会进一步降低安全等级。
富豪八卦
现实威胁：从理论到可行
尽管该攻击目前主要停留在学术层面，但计算资源的快速迭代可能使其在数年内具备实战能力。根据社区分析，1,380核心年约等于1209万核心小时，使用单块高端GPU（如NVIDIA H200）可在约400~600小时完成，而一个配备4000块GPU的集群（如得克萨斯大学奥斯汀分校的TACC）仅需6~12小时就能完成一次伪造。这意味着拥有大规模计算资源的国家行为体或顶级科技公司已具备在合理时间成本内破解1024位RSA盲签名的能力。Cloudflare等企业已通过定期轮换密钥缓解风险，赫宁格指出轮换策略能大幅降低攻击成功率，但并非彻底消除。
密码学界的集体反思
卡斯滕·诺尔在接受采访时表示：“如果这一结果通过同行评审，将是真正的概念性突破。我们一直以为RSA的安全性与因子分解难度等价，但研究发现你可以不破解密钥就实际攻破RSA。”赫宁格补充道：“几十年来，密码学家一直认为1024位RSA的因子分解需要耗资数千万美元的计算时间，只有NSA或科技巨头才能做到。现在我们证明，用更少的资源就能实现密钥伪造。”这一发现促使密码学界紧急审视其他经典密码学假设，同时加速向后量子密码的迁移。美国NIST已于2024年选定首批抗量子算法，但全球基础设施的迁移预计需要5~10年。
加速向后量子密码迁移
该攻击进一步增强了完全放弃RSA的紧迫性。密码学专家指出，即便主流RSA实现当前不受影响，RSA的整体信任基础已被动摇。欧洲电信标准协会（ETSI）已呼吁组织立即评估其对盲签名RSA的依赖，并制定迁移计划。赫宁格的团队已在GitHub上发布了攻击原理的解读文档，供开发人员和密码学家参考。研究团队还强调，该攻击不适用于PKCS/PSS填充的RSA，但敦促所有使用RSA盲签名的系统尽快替换为后量子安全的签名方案（如基于格或哈希的签名）。
FAQ段
Q1：普通用户需要担心RSA加密被破解吗？
A1： 目前无需过度担心。该攻击仅影响盲签名（教科书式）RSA实现，而日常使用的HTTPS、SSH、电子签名等均采用PKCS/PSS填充，不受影响。但对于使用Privacy Pass等盲签名协议的用户（如访问部分Cloudflare保护网站或Apple服务），若服务商未及时轮换密钥，存在理论上的身份伪造风险。建议关注相关服务商的安全公告。
Q2：该攻击是否意味着RSA已经完全失效？
A2： 不完全。RSA在现代填充模式（PKCS#1 v1.5、PSS）下依然是安全的，因为填充阻止了攻击所需的预言机特性。但该发现证明了RSA的安全性假设（因子分解难度）不完整，存在未被预料的漏洞。密码学界认为，这加速了全面淘汰RSA的进程，建议组织开始规划向后量子密码的迁移，尤其是涉及长期安全性的系统。
总结与展望
这项研究首次证明，RSA加密防线存在因子分解之外的突破路径，将密码学推入一个全新阶段。尽管短期风险可控，但它彻底动摇了RSA的数学基础假设，推动全球密码学标准向抗量子密码的快速演进。对于安全从业者而言，“再见，RSA”的倒计时已正式归零。
Why Choose RSA安全防线告破：新密钥伪造攻击无需因...
加州大学圣迭戈分校发现全新RSA密钥伪造攻击，利用特殊数域筛法将1024位密钥安全等级骤降至2^65，仅需1380核年即可破解盲签名实现，加速后量子密码迁移。
