RSA-1024 galt schon lange als Auslaufmodell – jetzt liefern zwei Arbeitspapiere von Google DeepMind neue Argumente, ältere Schlüssel endgültig auszumustern. Ein Team um die Kryptografen Nadia Heninger (UC San Diego, Inria) und Emmanuel Thomé (Inria) sowie DeepMind-Forschende hat mit Hilfe von KI-Agenten zwei Schwachstellen im Umfeld von 1024-Bit-RSA beschrieben: eine bei der Absicherung von Signaturen durch das Padding-Format PKCS#1 v1.5 und eine bei den Kosten, viele 1024-Bit-Schlüssel auf einmal zu faktorisieren. Beide Papiere stellen gleich zu Beginn klar, dass heute eingesetzte Systeme mit RSA-Schlüsseln ab 2048 Bit dadurch nicht bedroht sind.
Bemerkenswert ist weniger ein einzelnes Ergebnis als die Arbeitsweise: Eine aufwendige Rechnung auf 1024-Bit-Niveau haben laut DeepMind zwei kooperierende KI-Agenten in unter vier Tagen entworfen, ausgeführt und debuggt – mit rund 20 kurzen Nachrichten eines menschlichen Forschers.
RSA-1024 und das Signatur-Orakel: worum es geht
Das erste Papier, „Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation“, untersucht ein Szenario, das Fachleute als Orakel-Modell kennen. Ein Angreifer darf eine Zeit lang ein Signaturgerät – etwa ein Hardware-Sicherheitsmodul (HSM) – mit selbst gewählten Eingaben aufrufen und die Ergebnisse sammeln. Danach verliert er den Zugriff und soll Signaturen für beliebige neue Werte berechnen, ohne den privaten Schlüssel zu kennen. Den Schlüssel selbst gewinnt er dabei ausdrücklich nicht.
Signaturschnittstellen wenden den Schlüssel in der Praxis nicht auf beliebige Daten an, sondern betten die Eingabe in ein festes Format ein, etwa PKCS#1 v1.5. Bisher galt dieses Format als zusätzliche Hürde. Die Forschenden zeigen nun: Kontrolliert der Aufrufer mehr als etwa die Hälfte des 128 Byte langen Blocks – bei 1024 Bit also ab 65 Byte –, bietet das Format keinen zusätzlichen Schutz mehr. Das Problem ist dann nicht schwerer als bei einer Schnittstelle ganz ohne Format. In ihren Messungen galt das auch schon bei genau der Hälfte, also etwa wenn der Aufrufer einen 64 Byte langen Hashwert wie SHA-512 übergibt. Bei 32-Byte-Hashwerten wie SHA-256 bleibt das Problem schwerer; dafür beschreibt das Papier einen asymptotisch schnelleren Algorithmus, den die Autoren bei dieser Größe aber nicht praktisch ausgeführt haben.
3,5-mal weniger Rechenzeit als im Original
Den praktischen Teil bildet die Wiederholung eines bereits veröffentlichten Experiments. Shea, Haller, Suhl, Heninger und Thomé hatten zuvor gezeigt, dass sich bei einem 1024-Bit-Schlüssel und einer Schnittstelle ohne Format nach einer Vorphase Signaturen berechnen lassen. Sie benötigten dafür insgesamt rund 1.380 CPU-Kernjahre. DeepMinds Agenten nutzten denselben Algorithmus, dieselben Polynome und dieselben Parameter und kamen für die erste Wurzel auf 391 CPU-Kernjahre – 318 in der Vorphase, 73 in der Online-Phase. Das entspricht einem Faktor von 3,5.
Laut Papier geht diese Ersparnis vor allem auf besseren Code zurück, nicht auf schnellere Hardware: Der optimierte Siebcode sei auf derselben Maschine 1,8- bis 4,4-mal schneller als die verbreitete Open-Source-Software CADO-NFS. Zur Einordnung nennt das Papier auch die Gegenrechnung: Den 1024-Bit-Modul tatsächlich zu faktorisieren, würde schätzungsweise 500.000 bis 1.000.000 Kernjahre kosten. Die Signaturberechnung ist also deutlich günstiger, ersetzt aber keine Schlüsselrückgewinnung.
Wie die KI-Agenten gearbeitet haben
Das Papier beschreibt das Setup ungewöhnlich detailliert. Zwei Sprachmodell-Agenten teilten sich die Arbeit:
- Model A (Supervisor) schrieb das Design, legte Budgets und Prüfkriterien für jede Stufe fest, kontrollierte alle Ergebnisse und entschied über Go/No-Go.
- Model B (Executor) schrieb und testete den Code, startete und überwachte die verteilten Jobs und behob Fehler.
- Der menschliche Forscher setzte das Ziel und gab Freigaben, meist mit Antworten wie „follow your recommendation“ oder „continue“.
Die Agenten schrieben rund 33.500 Zeilen neuen Code für den 1024-Bit-Lauf, starteten 336 verteilte Experimente auf bis zu 300.000 CPU-Kernen und 16 GPUs und machten insgesamt 16.292 Tool-Aufrufe. Die Rechnung lief 3,2 Tage ab dem ersten Volllast-Job, das Original hatte rund fünf Monate gedauert. Diesen Unterschied führen die Autoren vor allem auf Parallelisierung zurück. Unterwegs mussten die Agenten echte Probleme lösen, darunter einen 32-Bit-Indexüberlauf, durch den die erste berechnete Wurzel falsch war. Welche Modelle konkret als Model A und Model B dienten, nennt das Papier in der veröffentlichten Fassung nicht.
Fan Factories: billigeres Faktorisieren im Stapel
Das zweite Papier, „Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS“ vom 5. November 2026, ist rein theoretisch. Es geht um ein Szenario, in dem ein Angreifer nicht einen, sondern sehr viele RSA-Schlüssel gleicher Größe brechen will. Seit 1993 gibt es dafür Ideen von Don Coppersmith, etwa eine „Faktorisierungsfabrik“, die einen Teil der Arbeit einmal vorberechnet und dann für jeden Schlüssel wiederverwendet.
Die neue „Fan Factory“ gibt jedem Zielschlüssel eine eigene Familie von Zahlkörpern, die alle aus derselben Vorberechnung gespeist werden. Ergebnis: Kostet die Vorberechnung etwa so viel wie eine einzelne Faktorisierung, ließe sich jeder weitere 1024-Bit-Schlüssel nach führender Ordnung für rund 1/58 der Kosten des Zahlkörpersiebs knacken – etwa 30-mal günstiger als mit Coppersmiths bisher bestem Verfahren für dieses Budget. Die algebraischen Identitäten wurden im Beweisassistenten Lean 4 maschinell geprüft; ein Modell erzeugte die Beweise, ein zweites verifizierte sie.
Die Einschränkungen nennen die Autoren selbst: Es handelt sich um eine asymptotische Abschätzung, bei der Terme niedrigerer Ordnung weggelassen werden, und eine Fan Factory wurde bisher nicht implementiert.
Wer jetzt handeln sollte
Für die allermeisten Websites, Messenger und Banking-Apps besteht kein Handlungsbedarf, sofern sie RSA mit mindestens 2048 Bit oder elliptische Kurven einsetzen. Relevant sind die Ergebnisse für Umgebungen, in denen 1024-Bit-RSA noch im Einsatz ist – etwa in alten HSM-Konfigurationen, Embedded-Geräten, Smartcards oder Legacy-Signaturdiensten. Drei Punkte lassen sich aus dem Papier ableiten:
- 1024-Bit-Schlüssel ausmustern. Laut Papier ist 1024-Bit-RSA nach aktuellen Empfehlungen ohnehin nicht mehr für die Erzeugung von Signaturen zugelassen.
- Rohe Signaturschnittstellen meiden. Der Angriff setzt voraus, dass ein Aufrufer direkt und sehr oft – in der reproduzierten Rechnung rund vier Milliarden Mal – selbst gewählte Daten signieren lassen kann. Mechanismen, die den Hash im Gerät selbst berechnen (etwa
CKM_SHA256_RSA_PKCSin PKCS#11), fallen laut Papier aus beiden Angriffsmodellen heraus. - Zugriff auf HSMs begrenzen und überwachen. Ungewöhnlich hohe Signaturvolumen sind ein Warnsignal.
Einordnung
Die Papiere sind Working Papers und noch nicht begutachtet. Sie brechen kein aktuelles Verschlüsselungsverfahren, und Schlagzeilen über „von KI geknacktes RSA“ führen in die Irre. Spannend ist der zweite Aspekt, den DeepMind selbst betont: wie schnell KI-gestützte Forschung ein Feld bewegen kann, das sich sonst langsam entwickelt. Eine Rechnung, die ein erfahrenes Team zuvor fünf Monate gekostet hatte, wurde mit sehr wenig menschlichem Input reproduziert und verbessert. Das passt zu Debatten, die wir schon bei der Frage geführt haben, ob KI-Mathematik ECDSA vor dem Quantencomputer brechen könnte, und zu den Plänen für quantensichere Ersatzschlüssel bei Ethereum (EIP-8450). Für Betreiber gilt dieselbe nüchterne Lehre wie beim OpenSSH-Notfall-Release 10.6p2: Alte Konfigurationen, die „irgendwie noch laufen“, sind das eigentliche Risiko.
