RSA-codering

RSA is een cryptosysteem met publieke sleutel dat in 1977 werd geïntroduceerd door Ron Rivest, Adi Shamir en Leonard Adleman aan het MIT. Het patent liep in 2000 af, waarna het zich naar vrijwel elke cryptografische bibliotheek verspreidde. RSA maakt twee complementaire bewerkingen mogelijk: versleutelen met een publieke sleutel, zodat alleen de privésleutel kan worden ontsleuteld, en ondertekenen met een privésleutel, zodat iedereen met de openbare sleutel kan verifiëren.

De beveiliging van

RSA berust in het kort op de moeilijkheid om grote getallen in factoren te verwerken. Sleutelgeneratie:

1. Kies twee grote willekeurige priemgetallen p en q (doorgaans elk 2048 bits).
2. Bereken n = p × q. Dit is de modulus, publiek.
3. Bereken de totient van Euler: φ(n) = (p-1)(q-1).
4. Kies een kleine oneven e coprime tot φ(n). Gewoonlijk 65537 (=2^16+1).
5. Bereken d = e^(-1) mod φ(n). Dit is de privésleutel.

De publieke sleutel is het paar (n, e); de privésleutel is d.

Om een ​​bericht m te coderen: cijfertekst c = m^e mod n. Om te decoderen: m = c^d mod n. Iedereen met de publieke sleutel kan coderen; alleen iemand met de privésleutel kan ontsleutelen. Om te tekenen, het omgekeerde: s = m^d mod n, verifieer met m = s^e mod n.

Waarom dit werkt

De truc: het berekenen van d vereist het kennen van φ(n), wat factoring vereist n in p × q. Het ontbinden van een 2048-bit semiprime vergt meer rekenkracht dan de mensheid. Het verifiëren van n = p × q als u p en q al kent, is triviaal. De asymmetrie – gemakkelijke vermenigvuldiging, harde factoring – is de hele basis van RSA.

Keysizes

• RSA-1024 – in principe doorbroken door goed uitgeruste tegenstanders; NIST heeft het sinds 2014 verboden voor nieuwe implementaties.
• RSA-2048 – huidige basislijn. Wordt als veilig beschouwd voor de middellange termijn tegen klassieke tegenstanders.
• RSA-3072 – aanbevolen voor nieuwe implementaties volgens de transitietijdlijn van NIST voor 2030.
• RSA-4096 – gebruikelijk voor code-ondertekening waarbij de sleutel een horizon van 10-20 jaar heeft. Langzamer maar conservatief veilig.

RSA in de praktijk

RSA codeert vrijwel nooit grote berichten rechtstreeks. Het is langzaam: voor het coderen van een kilobyte zijn duizenden modulaire machtsverheffingen nodig. In plaats daarvan wordt RSA gebruikt in hybride encryptie: genereer een willekeurige AES-sleutel, codeer de gegevens met AES, codeer alleen de AES-sleutel met RSA. De decoderingszijde decodeert RSA de sleutel en vervolgens decodeert AES de gegevens. Elke TLS RSA-handshake werkt op deze manier; elke met PGP gecodeerde e-mail werkt op deze manier.

Padding is belangrijk

Plain ("leerboek") RSA — m rechtstreeks versleutelen zonder opvulling — is catastrofaal onveilig. Veel aanvallen maken gebruik van maakbaarheid, de afwezigheid van willekeur en randgevallen zoals de kleine m. Echte RSA gebruikt opvullingsschema's:

• PKCS#1 v1.5 opvulling - originele opvulling; kwetsbaar voor de aanval van Bleichenbacher als implementaties lekken of opvulling geldig is. Nog steeds op grote schaal ingezet.
• OAEP (Optimale Asymmetrische Encryptie Padding) — moderne opvulling; bestand tegen aanvallen met gekozen cijfertekst. Gebruik dit voor nieuwe RSA-codering.
• PSS (Probabilistic Signature Scheme) — moderne handtekeningopvulling; superieur aan PKCS#1 v1.5 voor ondertekening.

Het opvullingsschema maakt deel uit van het geïmplementeerde protocol en is niet optioneel. Fouten bij de implementatie van opvulling zijn de meest voorkomende bron van RSA-kwetsbaarheden in echte systemen. De langzame pensionering van

RSA

RSA wordt vervangen om twee redenen:

• Sleutelgrootte. RSA-3072-sleutels zijn groter dan de equivalente elliptische curve toetsen met 10×. De TLS-handshake- en opslagkosten lopen op bij elkaar op.
• Kwantumweerstand. Een voldoende grote kwantumcomputer zou RSA via Shor's algoritme in polynomiale tijd in rekening brengen. ECC is ook kwetsbaar, maar kwantumbestendige alternatieven zijn gemakkelijker te implementeren.

TLS 1.3 heeft de uitwisseling van RSA-sleutels beëindigd ten gunste van ECDHE. De moderne ondertekening door certificeringsinstanties verhuist naar ECDSA. RSA blijft bestaan ​​voor de geïnstalleerde compatibiliteit (PGP, JWT, smartcards, codeondertekening) en zal jarenlang blijven bestaan.

De post-kwantumvraag

Zelfs als het nog tientallen jaren duurt voordat kwantumcomputers die RSA kunnen breken, worden versleutelde gegevens met langetermijnwaarde verzameld in de veronderstelling dat ze later kunnen worden ontsleuteld. Overheidskabels, medische dossiers, intellectueel eigendom – ‘oogst nu, ontsleutel later’ is het huidige dreigingsmodel. De post-kwantumstandaarden van NIST (CRYSTALS-Kyber voor sleutelinkapseling, CRYSTALS-Dilithium voor handtekeningen) worden naast RSA in hybride configuraties ingezet. Pure-RSA-implementaties voor vertrouwelijke gegevens op de lange termijn worden steeds vaker als ontoereikend beschouwd.