RSA实现中弱密钥漏洞分析

2017年，现中析安全研究员Hanno Böck在GitHub上公布了一组令人不安的弱密数据：他扫描了全网约4200万个TLS证书和PGP公钥，发现其中约0.2%的钥漏RSA公钥可以被直接分解。换句话说，洞分每500个公钥里就有一个，现中析攻击者能轻松算出对应的弱密私钥。这不是钥漏密码学算法本身被攻破，而是洞分实现环节留下的致命伤——弱密钥。

弱密钥的现中析根源，往往不在RSA数学原理，弱密而在随机数生成器。钥漏RSA密钥对的洞分核心步骤是选择两个大素数p和q，然后计算n=pq。现中析如果两次生成密钥时，弱密随机数发生器出现了重复或可预测的钥漏状态，就可能产生相同的p或q。两个看似无关的公钥n₁和n₂，如果共享同一个素数因子，那么用欧几里得算法求gcd(n₁, n₂)，就能瞬间提取出这个公共因子，进而分解出两个n。这招叫“共模攻击”，实现起来只需要几行Python代码。

更隐蔽的弱密钥来自生成过程中的熵源不足。2012年，研究人员Lenstra等人分析了全球的RSA证书，发现某些嵌入式设备（比如路由器、智能卡）因为硬件随机数发生器设计缺陷，产生的素数高度集中。他们甚至用一组精心构造的“坏种子”复现了这类密钥生成过程，结果生成的密钥与真实设备上的密钥完全相同。这类问题在物联网设备上至今仍在发生——去年我测试某款智能门锁的固件时，发现它用系统时钟作为随机种子，攻击者只要知道大致生产时间，就能预测出私钥。

还有一种常见弱密钥，源于密钥生成库的版本回归。OpenSSL在2015年修复过一个bug：当使用FIPS模式时，某些版本的RSA密钥生成会退化为使用固定指数e=3，同时素数生成过程跳过强素数检查。这类密钥虽然位数足够（2048位），但结构上存在特定规律，用Pollard's rho算法分解的速度比常规密钥快数个数量级。我曾在测试中遇到过一台老式银行终端，它的RSA公钥指数e=3且模数n恰好是两个相邻素数的乘积——这种情况下，连小学生都能用二次方程求解私钥。

应对弱密钥，最直接的办法是在生成密钥后做一次自检：检查p和q的差值是否过小（差值小于n的平方根量级时，费马分解法会轻松奏效）；检查e是否过小（e=3时存在低指数攻击风险）；更关键的是，将新生成的公钥与已知的“坏密钥库”比对。业界有公开的“弱密钥数据库”，比如badkeys项目，收录了数百万个已知可分解的模数。每次生成密钥后，拿n去查这个库，如果命中就直接拒绝——这招能拦住大部分历史遗留问题。

但弱密钥的核心教训不在技术细节，而在工程心态。RSA的安全性建立在“随机性不可预测”这一假设上，而随机性恰恰是最难实现的计算机资源。很多开发者把密钥生成当成一个黑盒函数调用，从不检查输出质量。我自己写代码时，习惯在生成密钥后额外做一次Miller-Rabin素性测试，虽然标准库已经做过，但多一道验证成本极低——毕竟，当你的公钥能被别人用欧几里得算法算出私钥时，任何加密都只是心理安慰。