米カリフォルニア大学サンディエゴ校主導の研究チームがHSMのRSA署名を偽造。鍵を抽出せずに約40億回のリクエストでなりすましに成功

米カリフォルニア大学サンディエゴ校（UCサンディエゴ）を中心とする研究チームが、ハードウェアセキュリティモジュール（HSM）内の秘密鍵を物理的に抽出することなく、RSA署名を偽造してデバイスになりすます攻撃手法を発表しました。HSMは暗号資産のカストディ（資産保管）事業者などが秘密鍵を保護するために広く用いている耐タンパー性（不正な改ざんや読み取りを防ぐ構造）を備えた専用デバイスです。今回の研究はRSA暗号を標的としたものであり、ビットコインやイーサリアムなど主要なブロックチェーンへの直接的な脅威にはならないとされていますが、鍵管理の堅牢性を検証する事例として業界の注目を集めています。

鍵を抽出せずに署名を偽造した研究手法の概要

今回の研究は、UCサンディエゴおよびフランス国立情報学自動制御研究所（INRIA）の研究者らによって実施されたとされています。研究チームはHSM内部に格納された1,024ビットのRSA鍵を対象に、鍵自体を外部に漏洩させることなく有効な署名を生成し、デバイスのなりすましに成功しました。

研究報告によると、この手法の実現には認定セキュリティ設定であるFIPSモードを無効化した上で、約40億回（2の32乗回）に上る任意の署名リクエストをデバイスに送信し、さらに約1,380 CPUコア年相当の数学的計算を行う必要があったとされています。物理的に金庫を開けて鍵を盗み出すのではなく、外部からの署名要求と得られた応答データを解析することで署名権限を模倣した形となります。

ブロックチェーンおよび主要暗号資産への影響

今回の攻撃手法が直ちに暗号資産ネットワークの破綻につながる可能性は極めて低いと見られます。

ビットコインやイーサリアムをはじめとする主要なブロックチェーンでは、取引の署名アルゴリズムとしてRSAではなくECDSAなどの楕円曲線暗号が採用されています。本研究の成果はRSA暗号に限定されたものであり、楕円曲線暗号を用いる暗号資産の取引認証を直接偽造することはできないとされています。

また、現代の標準的なRSA暗号の実装ではパディング（平文の形式を整えて解析を防ぐ処理）が施されているため、既存の一般的なシステムに対して即時の脅威を及ぼすものではないとされています。一方で、BitGoなどの大手カストディ機関が暗号資産の運用においてHSMを中核的なセキュリティ基盤として利用していることから、鍵をデバイス外に出さない設計であっても大量のクエリ処理によって生じるリスクを評価するストレステストとして、機関投資家向けインフラの設計において重要な知見を提供するものと見られます。

ポイント

• UCサンディエゴ主導の研究チームが、HSMから秘密鍵を直接抽出することなくRSA署名を偽造し、デバイスになりすます実証に成功したとされています。
• 攻撃の成立には約40億回の署名リクエストと膨大な計算リソースが必要であり、一般的なシステムに対する即時の脅威にはならないとされています。
• ビットコインやイーサリアムなどの主要ブロックチェーンはRSAではなく楕円曲線暗号を採用しているため、ブロックチェーン取引の安全性に直接の支障はないとされています。
• 暗号資産の保管を担うカストディ事業者が信頼を寄せるハードウェア隔離環境に対して、新たな攻撃経路の可能性を提示した点で注目されます。