Lämnar RSA-nycklar fingeravtryck?

Att unikt identifiera vilken mjukvara som skapat en publik RSA-nyckel är något som kan vara intressant för en angripare. Dels så kan ett fingeravtryck som påvisar en mjukvara avslöja eventuella sårbarheter men även koppla en nyckel till hårdvara.

Frågan som forskarna vid Masaryk University i Tjeckien var följande:

Can bits of an RSA public key leak information about design and implementation choices such as the prime generation algorithm?

Efter detta så tog forskarna fram en metodik och valde ut 22 olika kryptobibliotek samt 16 olika smart-cards. De genererade nyckelpar i storlekarna 512, 1024 samt 2048-bitar. Efter detta så försökte de jämföra med nycklar som kan identifieras på Internet genom TLS eller PGP.

Resultatet visade på att det var möjligt att identifiera ursprungsmjukvaran, men även så identifierades det mjukvara som skapade felaktiga nycklar 0.05% av gångerna.

Här kan du ladda hem forskningen som PDF i sin helhet, presenterades under Usenix-konferensen:

• The Million-Key Question—Investigating the Origins of RSA Public Keys