Google dit que ses agents IA facilitent l'attaque des vieilles clés de chiffrement RSA

Le 6 novembre, Pushmeet Kohli, vice-président de Google DeepMind, a publié sur X un texte au titre ambitieux : « Advancing the frontier of cryptanalysis », faire progresser la cryptanalyse, la discipline qui cherche les points faibles des systèmes de chiffrement. Le contenu est plus modeste que le titre, mais pas anodin. Selon DeepMind, des agents d'IA, guidés par des chercheurs, ont trouvé en quelques semaines deux façons de rendre moins coûteuses les attaques contre RSA à 1024 bits, une taille de clé dépassée mais toujours présente dans de vieux systèmes.

Le travail a été dirigé par Dj Dvijotham et Abhradeep Thakurta, de DeepMind, avec deux cryptographes reconnus : Nadia Heninger, de l'université de Californie à San Diego, et Emmanuel Thomé, de l'Inria. DeepMind le précise d'emblée : les clés de 2048 bits et plus, utilisées par la quasi-totalité des protocoles modernes selon l'entreprise, ne sont pas concernées.

Premier raccourci : falsifier une signature sans connaître la clé

Le premier résultat touche les signatures numériques, qui prouvent qu'un document ou un logiciel vient bien de son auteur. D'après les éléments relayés par Interesting Engineering et d'autres médias, si l'attaquant contrôle environ la moitié du bloc signé, le « rembourrage » (les octets ajoutés pour protéger la signature) ne rend plus la falsification plus difficile qu'en son absence. Même quand il ne contrôle qu'une petite partie des données, par exemple une empreinte de 32 octets, un nouvel algorithme ferait environ 1 600 fois mieux que la meilleure attaque connue dans ce cas, pour des clés de 1024 bits.

Ce chiffre est une estimation théorique, pas une mesure. La seule vérification pratique annoncée porte sur un cas déjà résolu : une attaque publiée en septembre par Laura Shea, Miro Haller, Adam Suhl, Nadia Heninger et Emmanuel Thomé. Elle permettait de forger des signatures RSA-1024 sans casser la clé, à condition d'avoir eu un accès temporaire à un appareil qui signe sans rembourrage. Les chercheurs avaient utilisé un module matériel de sécurité (HSM), interrogé environ 2³² fois (quelque 4 milliards de requêtes), et mobilisé 1 380 années de calcul d'un cœur de processeur pendant cinq mois. Dans un environnement isolé, le programme écrit par les agents a reproduit ce résultat avec 3,5 fois moins de temps de calcul.

Second raccourci : casser les vieilles clés en série

Le second résultat concerne la factorisation, c'est-à-dire la décomposition du grand nombre au cœur d'une clé RSA, qui suffit à la casser. Une nouvelle méthode réduirait d'environ 30 fois le coût de chaque clé supplémentaire, quand on attaque en série des clés de 1024 bits de même taille, après un précalcul aussi coûteux qu'une factorisation, par rapport à la meilleure méthode connue jusqu'ici dans ces conditions. Ce gain est lui aussi une estimation théorique : selon l'article technique, une telle méthode n'a encore jamais été mise en œuvre.

DeepMind a mis en ligne deux articles techniques, présentés comme des documents de travail, et aucune reproduction indépendante n'a encore été publiée. L'entreprise en tire pourtant une conclusion large : à mesure que l'IA progresse en mathématiques, écrit Pushmeet Kohli, « nous ne pouvons pas considérer la difficulté cryptographique comme une hypothèse figée », et il faut éprouver sans cesse les standards cryptographiques.

Où se cachent encore des clés de 1024 bits ?

RSA-1024 est déconseillé depuis plus de dix ans : le NIST, l'institut de normalisation américain, en interdit l'usage pour créer de nouvelles signatures depuis 2014. Mais de vieux équipements, des micrologiciels ou des applications internes jamais révisées peuvent conserver ces clés longtemps après leur date de péremption. C'est là que ces travaux comptent :

• inventoriez les clés RSA encore en service et repérez celles de 1024 bits : certificats internes, anciens VPN, signatures de micrologiciels, clés SSH ;
• remplacez-les par des clés d'au moins 2048 bits, et de 3072 bits pour les usages prévus au-delà de 2030, comme le recommande le guide des mécanismes cryptographiques de l'ANSSI ;
• n'exposez jamais de fonction de signature « brute », sans rembourrage : c'était la condition de l'attaque de septembre ;
• profitez de cet inventaire pour préparer la migration post-quantique, que les auteurs de l'article de septembre recommandent eux-mêmes.

Pour RSA-2048, la menace reste d'une autre nature : un futur ordinateur quantique, pour lequel le fabricant français Alice & Bob avançait récemment le chiffre de 23 000 qubits. Après les travaux d'Anthropic sur les courbes elliptiques du web, c'est un nouveau signe que les laboratoires d'IA s'intéressent à la cryptographie. Reste à savoir si des cryptographes indépendants confirmeront les gains annoncés.