Experts: schokkend aantal dubbele RSA-sleutels

"We hebben een gezondheidscheck gedaan voor publieke sleutels die we via het web konden vinden", stellen de onderzoekers. Daaruit bleek (pdf) dat er een schokkend hoog aantal duplicate geheime sleutels in omloop zijn. Die geheime sleutels zouden uniek en willekeurig gegenereerd moeten zijn door RSA.

Dubbeling

Uit de analyse van 6,4 miljoen X.509 certificaten en PGP-sleutels met RSA-moduli blijkt dat er 71.052 meer dan eens voorkomen. Maar sommige komen ook duizenden keren voor. "In het algemeen kunnen we stellen dat, gelet op de data die we hebben verzameld, 1024-bit RSA op zijn best 99,8 procent veiliheid biedt", concluderen de onderzoekers.

"Serieuzer, we ontdekten 12.720 verschillende 1024-bit RSA moduli die geen veiligheid bieden", waarschuwen de wetenschappers. "Hun geheime sleutels zijn toegankelijk voor iedereen die de moeite neemt ons werk te herhalen."

"We hebben een overgrote meerderheid aan publieke sleutels gevonden die zo werken als bedoeld. Verontrustender is te ontdekken dat twee van elke duizend RSA-moduli die we verzamelden geen veiligheid bieden."

Geen paniek

Verder wordt geconcludeerd dat cryptografie, gebaseerd op "single secret" cryptosystemen, minder risisco's met zich meedraagt dan cryptosystemen die gebaseerd zijn op RSA-algoritme. RSA reageerde zelf niet direct op de bevindingen.

Cryptografie- en beveiligingsexpert Bruce Schneier is onder de indruk. "Het is interessant en een goed onderzoek", zegt hij tegen Networkworld. Wat hem betreft wijst het onderzoek voornamelijk uit "dat het willekeurig genereren van cijfers erg moeilijk is". Wat Schneier betreft leiden de bevindingen ook niet tot paniek. "Nee, maar het zal net zoals een Italiaans cruiseschip dat strandt voor de kust van Italië, mensen bewust maken van het gevaar van cruisen - of wellicht van landen die beginnen met de letter 'i'."

De onderzoekers gaan in een aankomende bijeenkomst meer over de zaak bekendmaken. De details worden niet vrijgegeven om te voorkomen dat kwaadwillenden er mee aan de haal gaan.