KI-Agenten rütteln an RSA-1024. Was das für Ihre E-Mail-Schlüssel heißt

TL;DR. Am 6. November hat Google DeepMind zwei Arbeiten zu RSA mit 1024 Bit veröffentlicht. KI-Agenten haben darin, angeleitet von Kryptographen, zwei Schwächen gefunden: Signaturen lassen sich unter bestimmten Bedingungen deutlich billiger fälschen, und wer viele Schlüssel dieser Größe knacken will, zahlt nach einer großen Vorarbeit für jeden weiteren rechnerisch nur noch etwa ein 58stel. RSA mit 2048 Bit betrifft das nicht. Wir haben nachgesehen, wo 1024 Bit noch offen im Netz steht, und sind bei der E-Mail gelandet. 33 von 38 DAX-Konzernen, bei denen wir Schlüssel fanden, veröffentlichen noch mindestens einen E-Mail-Schlüssel mit 1024 Bit. Die Umstellung ist kleine Arbeit. Sie gehört jetzt erledigt, nicht erst, wenn jemand den ersten Schlüssel knackt.

Was DeepMind gezeigt hat

RSA beruht darauf, dass sich das Produkt zweier großer Primzahlen kaum wieder zerlegen lässt. Wie schwer das wirklich ist, prüfen Kryptographen an ausgedienten Größen wie 1024 Bit. Das Team um Dj Dvijotham und Abhradeep Thakurta hat das mit KI-Agenten getan, gemeinsam mit Nadia Heninger (UC San Diego, Inria) und Emmanuel Thomé (Inria). Pushmeet Kohli, Vizepräsident bei Google DeepMind, fasst die Ergebnisse in einem Artikel zusammen. Die Details stehen in zwei Arbeitspapieren zu Signaturen und zur Faktorisierung.

• Signaturen. Viele Verfahren füllen eine Nachricht vor dem Signieren mit festen Daten auf. DeepMind zeigt: Bestimmt ein Angreifer etwa die Hälfte des signierten Blocks selbst, schützt dieses Auffüllen gar nicht mehr. Bei einem kurzen Fingerabdruck von 32 Byte bleibt es schwerer. Dort sinkt der Aufwand nach einer theoretischen Schätzung um rund das 1.600-Fache.
• Viele Schlüssel auf einmal. RSA-Schlüssel haben feste Größen. Wer viele davon knacken will, kann eine große Vorarbeit auf alle verteilen. Der neue Weg der Agenten: Nach einer Vorarbeit im Umfang einer einzigen Faktorisierung kostet jeder weitere 1024-Bit-Schlüssel rechnerisch etwa ein 58stel. Das ist 30-mal weniger als mit dem besten Verfahren, das seit 1993 galt.

Die Agenten haben auch gerechnet

Bemerkenswert ist, wie die Ergebnisse entstanden sind. Für einen echten Test in voller Größe arbeiteten zwei Agenten zusammen. Einer plante, setzte Prüfpunkte und kontrollierte jedes Ergebnis. Der andere schrieb den Code, startete die Rechenjobs und behob Fehler. Der zuständige Forscher schickte laut Papier rund 20 kurze Nachrichten, meist Freigaben wie „weiter“. In einer abgeschotteten Simulation fälschten die Agenten eine Signatur zu einem 1024-Bit-Testschlüssel, an dem ein Forscherteam um Heninger und Thomé dasselbe kurz zuvor gezeigt hatte. Dazu schrieben sie 33.500 Zeilen Code, starteten 336 Rechenläufe auf bis zu 300.000 Prozessorkernen und fanden unterwegs selbst einen Zählfehler, durch den das erste Ergebnis falsch war.

Die Autoren sind dabei ehrlich: Der Faktor 3,5 kommt aus besserem Code, nicht aus einem neuen Verfahren. Neu ist, dass Agenten diese Ingenieursarbeit in knapp vier Tagen fast allein erledigt haben. Es ist nicht der erste Fall dieser Art. Im September fielen zwei öffentliche Rekorde im Zerlegen von RSA-Zahlen, 862 Bit mit Agenten von Cognition und 896 Bit mit Claude, beide auf Grafikkarten.

Der Haken

• Theorie, nicht Praxis. Die 1.600-fache und die 30-fache Ersparnis sind Schätzungen aus Formeln, in denen kleinere Glieder wegfallen. Das neue Signaturverfahren lief nicht in voller Größe, das Verfahren für viele Schlüssel hat noch niemand gebaut. Wir haben beide Faktoren nachgerechnet, sie stimmen: 1.646 und 30,2.
• Der erste Schlüssel bleibt teuer. Einen 1024-Bit-Schlüssel zu zerlegen, schätzt das Papier auf 500.000 bis 1.000.000 Kernjahre. Der öffentliche Rekord liegt bei 896 Bit.
• Die Signaturschwäche braucht viel Zugang. Ein Angreifer muss ein Signiergerät vorher rund vier Milliarden Mal mit selbst gewählten Daten aufrufen. Geräte, die den Fingerabdruck selbst berechnen, sind nicht betroffen. Den Schlüssel selbst verrät der Angriff nicht.
• Noch kein unabhängiges Urteil. Es sind Arbeitspapiere ohne Begutachtung. Heninger und Thomé sind Mitautoren, nicht Gutachter.

Unser Test: Wo 1024 Bit noch im Netz steht

An einer Stelle stehen RSA-Schlüssel offen im Netz: bei der E-Mail. Die meisten Mailsysteme signieren ausgehende Mails mit DKIM, den passenden öffentlichen Schlüssel holt sich der Empfänger aus dem DNS. Wer einen solchen Schlüssel zerlegt, kann Mails im Namen der Firma signieren, die die Echtheitsprüfung beim Empfänger bestehen. Genau das macht gefälschte Rechnungen und Chef-Mails glaubwürdig.

Am 7. November haben wir die öffentlichen DKIM-Schlüssel der 40 DAX-Konzerne abgefragt, nur lesend: 54 Maildomains, je 116 gängige Schlüsselnamen, 6.264 DNS-Abfragen. Bei 38 Konzernen fanden wir Schlüssel, insgesamt 243 verschiedene.

• Nur fünf Konzerne setzen durchgehend auf 2048 Bit. Ein Schlüssel hat sogar nur 768 Bit, eine Größe, die Forscher schon 2009 öffentlich zerlegt haben. Prüfer nach heutigem Standard erkennen ihn zum Glück nicht mehr an.
• Viele kurze Schlüssel gehören Dienstleistern. Ein großer Teil steht unter Namen, die für Newsletter- und Marketingdienste typisch sind. Jeder Dienst, der im Namen der Firma Mails verschickt, bringt eigene Schlüssel mit.
• Auch Microsoft 365 ist dabei. Unter den beiden Standardnamen von Microsoft 365 fanden wir bei 25 Konzernen 55 Schlüssel, 12 davon mit 1024 Bit. Laut Microsofts Anleitung ist 1024 Bit beim Anlegen per PowerShell weiterhin voreingestellt.
• Vergessene Schlüssel zählen mit. Ob ein Schlüssel noch benutzt wird, sieht man von außen nicht. Der Empfänger prüft aber mit jedem, der im DNS steht. Ein vergessener Schlüssel ist für einen Angreifer so gut wie ein aktiver.

Namen von Konzernen nennen wir bewusst nicht. Die Liste würde vor allem Angreifern helfen.

Was das für den Mittelstand heißt

Niemand wird morgen Ihren E-Mail-Schlüssel zerlegen. Der erste 1024-Bit-Schlüssel kostet nach heutigem Stand Hunderttausende Kernjahre. Aber die Rechnung verschiebt sich. Die neue Arbeit macht jeden weiteren Schlüssel derselben Größe billiger, und allein bei den DAX-Konzernen fanden wir 94 davon. Und sie zeigt, dass KI-Agenten Fortschritte, für die es früher Jahre brauchte, in Wochen schaffen. Die Reserve alter Schlüssel schrumpft schneller, als viele Planungen annehmen.

Die Regeln sind dabei längst klar. Der E-Mail-Standard RFC 8301 empfiehlt seit 2018 mindestens 2048 Bit. Die US-Normbehörde NIST lässt kürzere RSA-Schlüssel zum Signieren nicht mehr zu. Das BSI empfiehlt in seiner Richtlinie TR-02102-1 für RSA-Signaturen mindestens 3000 Bit. Außer bei der E-Mail können alte Schlüssel in Firewalls und VPN-Zugängen stecken, in Steuerungen mit eigenen Zertifikaten, in SSH-Schlüsseln lange laufender Server und in internen Zertifizierungsstellen.

Was Sie jetzt tun sollten

1. Alle Absender auflisten. Mailserver oder Microsoft 365, Newsletter, CRM, Ticketsystem, Buchhaltung: Jeder Dienst, der mit Ihrer Domain Mails verschickt, hat einen eigenen DKIM-Schlüssel. Ihre DMARC-Berichte zeigen, wer das ist.
2. Auf 2048 Bit umstellen. In Microsoft 365 geht das mit dem Befehl Rotate-DkimSigningConfig und dem Zusatz -KeySize 2048. Laut Microsoft dauert jeder Wechsel vier Tage, und erst ein zweiter Wechsel stellt auch den zweiten Schlüssel um. In Google Workspace wählen Sie beim Erzeugen 2048. Bei Newsletter-Diensten steht die Einstellung meist bei der Domain.
3. Alte Schlüssel löschen. DKIM-Einträge, die nicht mehr gebraucht werden, aus dem DNS entfernen, auch die von Diensten, die Sie längst gekündigt haben. Was im DNS steht, gilt.
4. Die übrigen Schlüssel prüfen. Zertifikate in Geräten, VPN, SSH, interne Zertifizierungsstellen, Code-Signaturen: Alles unter 2048 Bit kommt auf eine Austauschliste. Bei Geräten den Hersteller fragen.
5. Signierdienste abdichten. Wer Hardware-Sicherheitsmodule oder Signierdienste betreibt, lässt den Fingerabdruck im Gerät berechnen und keine Rohdaten von außen signieren.
6. Kryptographie nach Kalender planen. Neue RSA-Schlüssel mit mindestens 3000 Bit anlegen, wie es das BSI empfiehlt, und den Umstieg auf Verfahren für die Zeit nach Quantencomputern gleich mitdenken.

Die Mathematik hinter alten Schlüsseln ist nicht über Nacht gefallen. Sie gibt aber schneller nach als früher, weil jetzt KI-Agenten mitrechnen. Wenn Sie wissen wollen, wo in Ihrer IT noch alte Schlüssel stecken, sehen wir gern gemeinsam nach.