Des signatures RSA 1024 bits forgées sans casser la clé : faut-il s’inquiéter ?

On répète depuis des décennies que casser RSA revient à factoriser un très grand nombre. Cinq chercheurs viennent de montrer qu’on peut imiter le détenteur d’une clé RSA de 1024 bits sans jamais la factoriser, et pour bien moins cher. Leur prépublication, déposée le 20 septembre 2026, répond elle-même à la question du titre : non, pas dans l’immédiat. Mais le calcul de sécurité de RSA était trop optimiste.

Le coffre et sa combinaison

Une clé RSA publique contient un nombre géant, produit de deux nombres premiers tenus secrets. Multiplier est facile, retrouver les deux facteurs est monstrueux : pour 1024 bits, les auteurs citent une estimation de 500 000 à 1 million d’années-cœur de calcul. Personne ne l’a fait publiquement. Toute la solidité annoncée de RSA est extrapolée de ce coût.

Passer par le guichet

L’attaque ne cherche pas la combinaison. Elle suppose un accès temporaire à un « oracle » : un service qui signe, avec la clé secrète, n’importe quel nombre brut qu’on lui présente. L’équipe lui a soumis 2³² requêtes, soit environ 4,3 milliards, puis a mené un long précalcul.

Au bout du compte, l’attaquant peut forger hors ligne la signature de son choix, comme s’il avait la clé. Coût total : 1 380 années-cœur étalées sur cinq mois, sur une grappe de calcul universitaire, sans carte graphique ni IA. C’est 360 à 725 fois moins que la factorisation estimée. Une fois le précalcul fait, chaque nouvelle signature demande encore 180 années-cœur.

L’algorithme date de 2007 : il est signé Joux, Naccache et Thomé. Emmanuel Thomé, de l’Inria à Nancy, cosigne aussi l’article de 2026 avec quatre chercheurs de l’université de Californie à San Diego, dont Nadia Heninger. Personne ne l’avait exécuté à cette échelle. Le calcul s’est achevé le 31 août 2026.

Pourquoi votre navigateur ne risque rien

La condition est rarement remplie. Dans l’usage courant, RSA ne signe pas un nombre brut : il l’enrobe d’abord d’un remplissage normalisé (PKCS#1 v1.5 ou PSS). Les auteurs l’écrivent sans détour dans la FAQ de leur dépôt : dans ce cas, l’attaque ne s’applique pas.

Restent deux familles exposées. Les HSM, ces boîtiers qui gardent une clé et signent sur demande : l’équipe en a justement utilisé un comme oracle, et a pu se faire passer pour lui sans en extraire la clé. Et les signatures RSA « aveugles », employées par exemple par Privacy Pass, des jetons anonymes qui évitent de resservir des CAPTCHA.

Ce que ça change vraiment

Les chercheurs en tirent une correction : face à un oracle, RSA offre 15 à 30 bits de sécurité de moins que prévu, de 1024 à 4096 bits. Pour une clé de 2048 bits, ils estiment l’attaque à 2⁹⁰ opérations au lieu de 2¹¹² pour la factorisation. Hors de portée, sauf peut-être pour les adversaires les plus riches, mais sous la marge visée.

Leur conseil : aucune urgence à abandonner RSA, une bonne raison de plus de le faire lors de la migration vers la cryptographie post-quantique. La FAQ contient aussi une entrée pour le propriétaire de la clé attaquée. La réponse tient en trois mots : changez de clé.

En bref

• Signatures RSA 1024 bits forgées sans factorisation, en 1 380 années-cœur, contre 500 000 à 1 million estimées pour factoriser.
• L’attaque exige un oracle qui signe des nombres bruts ; les signatures avec remplissage PKCS#1 v1.5 ou PSS ne sont pas concernées.
• Cas exposés : certains HSM et les signatures RSA aveugles.
• Selon les auteurs, la sécurité de RSA face à un tel oracle est surestimée de 15 à 30 bits.

Sources : Shea, Haller, Suhl, Heninger et Thomé, ePrint 2026/2131 ; dépôt et FAQ des auteurs ; heise online (2 octobre 2026)

Le Bien Heureux · Rédaction Capibara · Dimanche 4 octobre 2026