Атака на RSA, которую раньше списали бы в раздел «интересно, но неподъемно», внезапно стала менее академической: для 1024-битного ключа оценка вычислений падает с 2^80 до 2^65 операций. Если работа исследователей из UC San Diego и Inria Nancy пройдет проверку, это не сломает весь интернет завтра утром, но заставит внимательнее посмотреть на HSM, токены, PKCS #11 и сервисы приватности, где до сих пор встречается textbook RSA.
О новой работе 26 сентября 2026 года сообщает Tom's Hardware. Речь не о привычном RSA в TLS-сертификатах и не о магической кнопке «расшифровать трафик». Исследователи описали атаку на textbook, или raw-вариант RSA: более прямолинейную форму алгоритма, которая не должна торчать наружу без дополнительных схем защиты, но в реальных системах все еще попадается.
Главная цифра выглядит неприятно. Для ключей RSA длиной 1024, 2048, 3072 и 4096 бит авторы работы оценивают снижение сложности атаки с 2^80, 2^112, 2^128 и 2^144 операций до 2^65, 2^90, 2^105 и 2^119 соответственно. 2^65 операций, конечно, не задача для ноутбука под столом у стажера. Но это уже диапазон, где богатый противник с большим парком железа, терпением и хорошей мотивацией перестает выглядеть фантастикой.
Есть важное «но», и оно большое. Чтобы атака стала практической, злоумышленнику нужно собрать огромное число ответов от так называемого oracle, то есть механизма, который принимает значение, прогоняет его через вычисление с приватным ключом и возвращает результат, сам ключ не раскрывая. В случае с textbook RSA oracle можно опрашивать произвольными числами, и именно это дает материал для дальнейшей математики. На живом сервисе это означает миллиарды обращений к одному и тому же ключу. Хороший мониторинг назовет такое поведение атакой задолго до красивой криптографической развязки.
Поэтому ближайший риск не в том, что все HTTPS-соединения внезапно стали прозрачными. Современные веб-сертификаты и удаленный доступ обычно не используют уязвимый raw RSA в таком виде. Проблемнее периферия криптоинфраструктуры: смарт-карты, USB-токены безопасности, пайплайны подписи кода, HSM, TPM-модули и сервисы, работающие через PKCS #11. Tom's Hardware также упоминает Cloudflare Privacy Pass, iCloud Private Relay и Private Cloud Compute как примеры сервисов, где такой класс механизмов может быть релевантен, хотя для атаки все равно нужны конкретные условия.
Отдельная деталь для тех, кто отвечает за ключи в бизнесе: исследователи проверяли подход на Thales Luna HSM, причем как на аппаратных устройствах, так и в онлайн-сервисной форме. Это не значит, что каждый Luna HSM теперь надо срочно отключать от сети и класть в сейф рядом с печеньем для аудиторов. Но это хороший повод поднять инвентаризацию: где используется raw RSA, какие операции доступны внешним клиентам, есть ли rate limiting, алерты на аномальные серии запросов и ротация ключей после подозрительной активности.
Самая неприятная часть здесь не текущая практичность, а траектория. В статье подчеркивается, что использованные алгоритмы далеки от оптимальных. Их потенциально можно ускорять: за счет оптимизации кода, GPU и, возможно, инструментов на базе ИИ. Если атака на RSA сегодня требует слишком много запросов и вычислений, это не гарантирует такого же положения через год, особенно если кто-то уже копит ответы oracle или перехваченный трафик под будущую расшифровку.
Для разработчиков вывод скучный, зато полезный: не использовать textbook RSA напрямую, не считать HSM автоматическим амулетом от всех бед и не давать криптографическим oracle отвечать без жестких лимитов. Для бизнеса вывод еще проще: криптография стареет не только из-за квантовых компьютеров. Иногда достаточно свежей математики, плохо закрытого API и пары миллиардов запросов, которые никто вовремя не заметил. Подробнее исходный разбор опубликован у .