คีย์ส่วนตัว RSA รั่วไหลได้หรือไม่หากฉันทั้งลงชื่อและถอดรหัส

เป็นไปได้หรือไม่ที่จะรั่วไหลของข้อมูลคีย์ส่วนตัวหากผู้โจมตีควบคุมคำขอลงนาม ?

ทุกคนรู้ $N$ และ $E$ เพราะเป็นของสาธารณะ

เซิร์ฟเวอร์ของฉันออกแบบมาเพื่อถอดรหัสคำขอที่เข้ามาซึ่งเข้ารหัสด้วยรหัสสาธารณะ

ทำเครื่องหมายและสำหรับข้อมูลที่ถอดรหัสซึ่งมี SHA-2 ส่งคืนเครื่องหมาย RSA สำหรับข้อมูลนั้น

เป็นไปได้ไหมที่ผู้โจมตีสามารถเรียนรู้รหัสส่วนตัวของฉันได้

ฉันกำลังทดสอบสิ่งนี้ในเวิร์กช็อปในพื้นที่ของฉันเพื่อวัตถุประสงค์ด้านการศึกษา

ฉันใช้ข้อความเข้ารหัสคีย์สาธารณะ PKCS#1 สำหรับคำขอที่เข้ามา ข้อมูลถูกถอดรหัสโดยคีย์ส่วนตัวของฉันและมี SHA-2 ดังนั้นฉันเพียงแค่เซ็นชื่อและส่งคืนข้อมูลที่เซ็นชื่อกลับไปยังลูกค้า

ตัวอย่างใน Python:

การสร้างคู่ข้อความและคีย์:

ข้อความ = struct.pack('>IIII', 0, 0, 0, 1)
(pub, priv) = rsa.newkeys(512) // ตัวอย่างเช่น ฉันรู้ว่าไม่มีใครใช้ 512 บิต

คำขอที่เข้ามา:

เข้ารหัส = pkcs1.encrypt (ข้อความ ผับ) 

การทำงานของเซิร์ฟเวอร์:

ถอดรหัส = pkcs1.decrypt (เข้ารหัส, ความเป็นส่วนตัว)
ลายเซ็น = pkcs1.sign (ถอดรหัส, priv, 'SHA-256')

และตอบกลับกลับมา

จากตัวอย่างจะเห็นว่าการเข้ารหัสและลายเซ็นใช้โหมดการเติมบางอย่างใน พีเคซีเอส#1; มีแนวโน้ม RSAES-PKCS1-v1_5 สำหรับการเข้ารหัสและ RSASSA-PKCS1-v1_5 ด้วย SHA-256 สำหรับลายเซ็น

เป็นไปได้ไหมที่จะรั่วไหลของข้อมูลคีย์ส่วนตัว?

เท่าที่เรารู้, ไม่ไม่สามารถถอดรหัสข้อความและเซ็นชื่อด้วยรหัสเดียวกันได้ ข้อมูลคีย์ส่วนตัวรั่วไหล. ซึ่งเป็นอิสระจากโครงร่างการเติมที่ใช้สำหรับการเข้ารหัสและลายเซ็น: เราไม่รู้ว่าการใช้คีย์ส่วนตัว RSA ใดๆ $(น,ง)$ จำกัด เฉพาะการคำนวณ $x\mapsto x^d\bmod n$ ในกล่องดำที่ไม่มีช่องด้านข้างสามารถ ข้อมูลคีย์ส่วนตัวรั่วไหล.

สิ่งที่คล้ายกันที่อาจเกิดขึ้น:

• การใช้งานอาจทำให้คีย์ส่วนตัวรั่วไหลโดยช่องทางด้านข้าง เช่นโปรแกรมโทรจันที่ทำงานบนแพลตฟอร์ม หรือ การวิเคราะห์พลังงานเชิงอนุพันธ์. มีช่องด้านข้างอื่น ๆ อีกมากมายที่ต้องกลัว
• การใช้การถอดรหัส RSAES-PKCS1-v1_5 อาจเป็นหนึ่งใน หลายคนที่เสี่ยงต่อการโจมตี Bleichenbacher บางรูปแบบ. นั่นอาจทำให้เปลี่ยนเซิร์ฟเวอร์เป็นออราเคิลที่อนุญาต (พร้อมแบบสอบถามเพียงพอ) คำนวณฟังก์ชัน $x\mapsto x^d\bmod n$ สำหรับพล $x$ให้เทียบเท่า (ช้ามาก) กับการรู้รหัสส่วนตัวแก่ผู้โจมตีที่สามารถสื่อสารกับเซิร์ฟเวอร์

ไม่ถูกต้องทางวิชาการที่จะใช้คู่คีย์สาธารณะ/ส่วนตัวเดียวกันสำหรับการเข้ารหัสและลายเซ็น แต่ด้วยโหมดการเข้ารหัสและลายเซ็นสี่โหมดใน พีเคซีเอส#1 มันไม่ได้เปิดใช้งานการโจมตีใด ๆ ที่รู้จัก การเชื่อมโยงที่อ่อนแอที่สุดในห่วงโซ่ความปลอดภัยคือ

• ฟังก์ชันการทำงานที่ยอดเยี่ยมของเซิร์ฟเวอร์: ช่วยให้สามารถรับลายเซ็นของสิ่งใดก็ตามที่เหมาะกับข้อจำกัดขนาดสำหรับการเข้ารหัส (117 ไบต์)
• โมดูลัส 512 บิต ซึ่งสามารถแยกตัวประกอบได้ (เป็นไปได้แล้วในศตวรรษที่ 20)
• การใช้การถอดรหัส RSAES-PKCS1-v1_5 บนข้อความเข้ารหัสที่ไม่ผ่านการรับรองความถูกต้องจากการเปิด