Une équipe de recherche de l’Université de Californie à San Diego (UCSD) et d’Inria Nancy/Université de Lorraine a réalisé une avancée majeure en cryptographie ce mois-ci. Elle a démontré une nouvelle méthode permettant de falsifier des signatures RSA de 1 024 bits sans avoir à factoriser la clé publique – c’est-à-dire sans retrouver les deux nombres premiers originaux utilisés pour la créer. Cette découverte, baptisée eNFS, a surpris la communauté de la cybersécurité, car elle réduit considérablement l’effort de calcul nécessaire pour casser cette taille de clé, longtemps considérée comme sûre. Traditionnellement, le cassage d’une clé RSA reposait sur la résolution du problème mathématique complexe que constitue la factorisation d’un grand nombre. La méthode eNFS remet en cause cette approche en proposant une solution plus efficace. L’eNFS s’inspire de travaux théoriques antérieurs menés en 2007 par les chercheurs Joux, Naccache et Thomé. Elle appartient à la famille des algorithmes Generalized Number Field Sieve (GNFS / SNFS), généralement utilisés pour des nombres dotés de propriétés particulières. Cette nouvelle méthode permet de falsifier des signatures avec une complexité de calcul comparable à celle du Special Number Field Sieve (SNFS), habituellement réservé aux nombres présentant des structures rares et fragiles. Au lieu d’essayer de factoriser directement la clé, l’algorithme exploite un accès temporaire à un « oracle de signature » ou « oracle de déchiffrement en clair » – en d’autres termes, un service capable de signer ou de déchiffrer des données. Cet accès permet à l’attaquant de générer suffisamment de données pour falsifier n’importe quelle signature hors ligne, sans jamais récupérer la clé privée ni ses facteurs premiers. L’attaque ne nécessite qu’un accès bref à un service de signature RSA ou de déchiffrement dépourvu de mesures de sécurité modernes, comme le masquage ou le bourrage déterministe. Pendant cette phase, l’attaquant effectue un nombre minimal de requêtes – 232 dans l’expérience – à l’oracle. Une fois ces données collectées, il peut se déconnecter et générer n’importe quelle signature hors ligne. Normalement, la factorisation d’une clé RSA de 1 024 bits aurait requis entre 500 000 et 1 000 000 d’années-CPU. Avec la méthode eNFS, cette phase de pré-calcul est réduite à seulement 1 380 années-CPU, tandis que la génération de nouvelles signatures ne prend que 180 années-CPU. Ces résultats ont été obtenus à l’aide d’un cluster informatique standard d’université, et l’équipe a utilisé un module matériel de sécurité (HSM) commercial réel comme oracle, démontrant que même des composants réputés sûrs peuvent être compromis. Les implications de cette recherche sont importantes. Bien que l’impact immédiat sur les utilisateurs quotidiens d’Internet reste limité, cette démonstration prouve que les clés RSA de 1 024 bits ne sont plus sécurisées et doivent être progressivement abandonnées. Les normes Web, comme celles du National Institute of Standards and Technology (NIST), ont déjà découragé leur utilisation au profit de clés plus grandes, comme RSA-2048. Les implémentations modernes de TLS ne sont pas vulnérables à cette attaque spécifique, car elles évitent les types d’oracles exploités. Cependant, les systèmes utilisant encore des clés RSA de 1 024 bits ou des schémas de signature obsolètes doivent être mis à jour d’urgence pour éviter d’éventuelles failles de sécurité. Les experts en cybersécurité doivent désormais évaluer les systèmes non seulement en fonction de la difficulté théorique de factorisation des nombres, mais aussi en tenant compte de la manière dont les services cryptographiques traitent et exposent les signatures brutes.