Factorizo las claves RSA de una autoridad certificadora de los años 90
I've factored the RSA keys of a Certificate Authority from the 90s
Un investigador logró factorizar las claves RSA de 512 bits de la autoridad certificadora E-Certify, que Netscape 4.51 incluía en 1999 para SSL y S/MIME. Usando CADO-NFS en su escritorio, reconstruyó las claves privadas en unas 60 horas. Configuró una máquina virtual con Netscape 4.51 y un servidor TLS personalizado en Go para demostrar que aún puede emitir certificados válidos para ese navegador antiguo. El proyecto está disponible en GitHub.
Asumiendo que de alguna manera estás ejecutando Netscape 4.51 con un reloj configurado antes de que las raíces de E-Certify expiraran el 2003-10-16, puedes usar estas claves privadas para emitir certificados.
- hnmullany
Fui el gerente de producto responsable de los certificados raíz en el navegador Netscape 4.51. Es una locura ver a alguien factorizarlo 25 años después.
Solo para responder a algunas personas en los comentarios. Sí, sabíamos que el cifrado de grado de exportación era débil, ese era el punto: que la NSA pudiera descifrarlo, y el gobierno nos obligaba a hacerlo de todos modos.
Para que conste, teníamos el objetivo de ampliar la lista de autoridades raíz en la versión 4.5x, y esta podría haber sido la primera versión en monetizar los espacios raíz porque Netscape estaba bajo una presión severa para generar ingresos.
(También, Verisign odiaba que estuviéramos ampliando la competencia e intentó convencernos de implementar un programa que volviera a restringir la lista a un conjunto de empresas "responsables", es decir, Verisign y una o dos más. Nos negamos.)
- 63
Un poco desafortunado que tantas partes interesantes se dejaran a la IA. Me habría gustado algún comentario sobre por qué era necesaria la implementación personalizada de TLS. En fin.
Actualización: encontré esta explicación en un comentario al principio del archivo Go (sorprendentemente corto) en el repositorio enlazado:
El cliente objetivo es Netscape Communicator 4.51 (tanto la versión de exportación de 40 bits como la versión estadounidense de 128 bits) con su reloj configurado al año 2000.
El crypto/tls de Go no puede ayudar: eliminó SSLv3 en Go 1.14, nunca aceptó el ClientHello compatible con SSLv2 que envía Netscape 4, y nunca tuvo RC4-MD5 ni los conjuntos de exportación de 40 bits. Así que este archivo lleva su propia implementación mínima de SSLv3 en el lado del servidor sobre primitivas de la biblioteca estándar (RSA PKCS#1 v1.5, RC4, DES, 3DES, MD5, SHA-1). La clave del servidor es RSA de 512 bits para que los clientes de exportación puedan cifrar el secreto premaestro directamente, sin ServerKeyExchange.
- alexpotato
Yo era dueño del servicio "broker FTP" en un fondo de cobertura.
Hubo un proyecto en 2021 para hablar con los bancos y brokers con los que nos conectábamos y pedirles que actualizaran sus claves y cifrados a versiones modernas.
Si mal no recuerdo, la clave/cifrado más antiguo era de finales de los 2000, así que no me sorprendería que alguien esté usando claves RSA de los 90 en algún lugar.
Puedes leer más sobre cómo los fondos de cobertura usan FTP aquí:
https://x.com/alexpotato/status/1809579426687983657?s=20
O escuchar a patio11 y a mí hablar sobre estos sistemas en general aquí:
https://www.complexsystemspodcast.com/episodes/two-banks-can...
- goalieca
Básicamente 2 días en una GPU de consumidor para romper un certificado de 512 bits. La cosa es que mucho del tráfico de entonces no usaba claves efímeras. ¡La mayoría ni siquiera estaba cifrado! Pero alrededor de una década después, se volvió normal cifrar todo. Me pregunto qué gobiernos del mundo están esperando para descifrar el discurso político anónimo grabando y guardando para cuando la desencriptación pueda ocurrir.
- teiferer
> No tengo ninguna buena razón para hacer eso, pero parece divertido.
¿Qué mejor razón hay para hacer algo que sea divertido?
- pvillano
Ese informe SSL con cuatro 'F' automáticas diferentes es un remate increíble
- gadders
Me pregunto si ahora se podrían romper las antiguas claves débiles no estadounidenses de Lotus Notes, y si hay archivos .nsf antiguos por ahí para descifrar.
- tunahanfaruksav
Gran artículo. El hecho de que CADO-NFS aún tarde 32 horas en un 5950X para una clave de 512 bits que es trivial según los estándares académicos actuales pone en perspectiva lo cómicamente pequeñas que eran incluso para 1999: RSA-155 cayó ese mismo año. También me encanta que verificar contra el Netscape 4.51 real resultara ser más difícil que la factorización en sí.