Fatoração de chaves RSA contendo muitos zeros

O projeto badkeys identificou, em junho de 2026, uma nova classe de chaves RSA fracas que contêm módulos com blocos regulares de zeros, padrões chamados de 'módulos inesperadamente esparsos'. Esses módulos não são aleatórios: apresentam sequências repetidas de bytes nulos intercaladas com dados aparentemente aleatórios. Foram encontrados em certificados ativos (e já expirados) de grandes organizações como Yahoo e Verizon, além de dispositivos NetApp, e também em servidores SSH usando CompleteFTP versões 10.0.0 a 12.0.0 (dez/2016, mar/2019) e DSA nas versões 10.0.0 a 23.0.4 (dez/2016, dez/2023). A vulnerabilidade não está no algoritmo RSA em si, mas na implementação defeituosa de geração de chaves em softwares específicos, o que permite fatoração eficiente sem precisar quebrar RSA-2048 ou RSA-4096 de forma genérica.

O NIST recomenda chaves RSA de pelo menos 2048 bits desde 2015, e 3072 bits para uso até 2030. Chaves com padrões esparsos violam o pressuposto fundamental da criptografia RSA: que o módulo N = p × q seja um inteiro aleatório grande. Quando N contém estruturas previsíveis, como múltiplos blocos de zeros, métodos especializados de fatoração, como variações do algoritmo de Coppersmith ou ataques baseados em aproximação racional, tornam-se viáveis. Isso não é teórico: o artigo original de Schneier confirma que essas chaves foram fatoradas com sucesso em ambiente real, com base nos dados coletados pelo badkeys.

Essa descoberta importa porque mostra que falhas de implementação podem anular décadas de segurança teórica. Não é necessário avanço em algoritmos de fatoração geral para comprometer RSA, basta um erro de engenharia em uma biblioteca ou firmware. Os padrões identificados (Padrão 1 e Padrão 2) não são raridades estatísticas: aparecem em certificados públicos reais, incluindo infraestrutura crítica. Além disso, o fato de duas implementações independentes (NetApp e CompleteFTP) terem gerado chaves com estruturas semelhantes sugere que o problema pode estar em bibliotecas de criptografia compartilhadas ou em práticas incorretas de inicialização de RNG (geradores de números aleatórios), como o uso de sementes fracas ou repetidas.

Ainda não há evidência pública de exploração em larga escala, mas o risco persiste em sistemas legados que ainda usam versões afetadas do CompleteFTP ou firmware antigo de equipamentos NetApp. Como os certificados do Padrão 1 já expiraram, o foco atual está na detecção proativa: ferramentas como badkeys, ssh-audit e scripts de verificação de módulo (ex.: openssl rsa -in key.pem -noout -modulus | tr -d ':' | xxd -r -p | hexdump -C) permitem identificar chaves com alta densidade de zeros antes que sejam usadas em produção.

Para desenvolvedores e administradores de sistemas, isso significa rever imediatamente como chaves RSA são geradas em seus ambientes. Evite bibliotecas ou ferramentas com histórico de problemas em geração de chaves, como versões antigas do OpenSSL antes do 1.1.1, ou SDKs proprietários que não documentam claramente o RNG usado. Prefira chaves geradas com openssl genpkey -algorithm rsa -pkeyopt rsa_keygen_bits:4096, que usa o RNG do sistema com entropia suficiente. Em ambientes embarcados ou IoT, valide se o firmware usa /dev/random ou /dev/urandom corretamente, e nunca reutilize sementes.

Também é crítico auditar chaves existentes: o badkeys oferece uma API pública e um CLI para verificação em lote. Se sua organização usa CompleteFTP, atualize imediatamente para versão 24.0.0 ou superior (lançada em janeiro de 2024, conforme comunicado oficial da EnterpriseDT). Para certificados TLS, revogue e emita novos com chaves geradas após auditoria completa, mesmo que o certificado ainda esteja válido, pois o módulo fraco pode ser fatorado a qualquer momento por um adversário com recursos moderados.