Google DeepMind は日本時間11月7日、人が導く AI エージェントで、古い1024ビットの RSA 暗号に2つの弱点を見つけた研究を公開した。同社は、影響を受けるのは旧式の1024ビットの仕組みだけで、2048ビット以上の鍵を使う現在の方式は安全なままだと説明している。
銀行や通販の接続を今日変える話ではない。それでも、古い機器を長く使っている家では、手元にどんな鍵が残っているかを見直すきっかけになる。
署名とまとめ割りの2つの弱点
1つ目はデジタル署名だ。署名の前にデータを定型の形に詰める仕組み (パディング) が、どこまで偽造を防ぐのかを調べた。DeepMind の説明では、攻撃者が署名される部分のおよそ半分以上を操れる場合、パディングの守りは効かなくなる。
実験は隔離した環境で行い、本番のシステムには触れていない。既に解かれている1024ビットの鍵を題材に、2つの AI エージェントが4日足らずで計算を設計して動かし、同じ問題を元の計算の3.5分の1の CPU 時間で解いた。それでも391 CPU コア年かかっている。操れる部分が短い場合の新しい手法は、従来より約1,600倍の改善という見積もりだが、これは理論上の値で実証はしていない。
2つ目は、同じ長さの数をまとめて素因数分解する方法だ。最初に大きな計算をしておけば、たくさんの鍵を破るときの1本あたりの費用が下がる。今回の方法は、追加の1024ビットの鍵1本あたりの平均費用を、従来のまとめ割りの手法より約30分の1にするという。
2048ビットは大丈夫でも、見方は変わる
論文は、今回の結果が2048ビット以上の RSA を使う現行の仕組みを脅かすものではないと書く。1024ビットは既に引退した規格で、だからこそ安全に試す場として使われた。
DeepMind が伝えたいのは速さのほうだ。この分野の大きな進展には年単位かそれ以上かかるのが普通だったが、今回は数週間で2件が出たという。同社は暗号の難しさを固定された前提として扱えないと述べ、守る側が先に試す材料として公開したとしている。不安を広げる話というより、更新の遅れをどれだけ放っておけるかの話として読むのがよさそうだ。
手元で鍵の長さを見られる場所
現代の暗号の方式は、同社の説明ではほぼすべて2048ビット以上の鍵を使う。古い鍵が残っているとすれば、更新の止まった NAS やルーターの管理画面、自分で作った証明書のような、個人が放置しやすい場所だ。
- ブラウザで機器の管理画面を開き、証明書の詳細で公開鍵の長さを見る
- 古い機器のメーカーのサイトで、ファームウェアの更新がまだ続いているかを確かめる
- 外から接続できる機器か、家の中だけで使う機器かを分けて考える
すぐに片づくとは限らない。更新の終わった機器では鍵を作り直せないこともあり、買い替えには費用がかかる。鍵を替えれば、つないでいた端末で設定をやり直す手間も出る。今回の計算の規模を見れば、家庭の機器が明日狙われると考える理由にはならない。優先するなら、外から触れる機器が先になる。
次に開くのは、この週末なら自宅の NAS かルーターの管理画面だ。論文はどちらも working paper の段階なので、暗号の専門家の反応と、学会などでの正式な発表に進むかも追っていきたい。
ことば
- RSA — 大きな2つの素数を掛けるのは簡単でも、その積から元の素数に戻すのは難しいことを利用する暗号の方式。通信の暗号化やデジタル署名に長く使われてきた。
- パディング — 署名する前に、データに決まった形の詰め物を足して長さをそろえる処理。今回の研究は、攻撃者が中身をどこまで操れると守りが効かなくなるかを示した。
あなたの家に、最後にいつ更新したか思い出せない機器はいくつあるだろうか？
