Wetenschappers hebben een nieuwe aanvalsmethode, genaamd eNFS, ontwikkeld die specifieke implementaties van het RSA-encryptiealgoritme kan ondermijnen zonder de publieke modulus te hoeven ontbinden. Deze methode, een variant van de 'number field sieve'-familie die in 2007 werd geïntroduceerd door Antoine Joux, David Naccache en Emmanuel Thomé, benadert de complexiteit van de snellere 'special number field sieve' (SNFS) door een deel van het wiskundige proces te vervangen met antwoorden van een ondertekeningsorakel.

De aanval is opgebouwd in verschillende fasen. Een voorberekenende fase, die enkel afhankelijk is van de publieke modulus en exponent, vergt naar schatting 1.200 CPU-core-jaren aan rekenkracht. De onderzoekers hebben deze techniek succesvol geïmplementeerd tegen een 1024-bit RSA-sleutel. Deze eerste grootschalige demonstratie op 1024-bit kostte 1.380 CPU-core-jaren, verspreid over vijf maanden, en vereiste 232 orakel-queries. Ter vergelijking wordt het ontbinden van een 1024-bit RSA-modulus geschat op ongeveer 500.000 tot 1 miljoen core-jaren.

Met deze aanval kan een aanvaller tijdelijke toegang tot een onbewerkte RSA-ondertekenings- of decryptiedienst omzetten in de permanente mogelijkheid om handtekeningen te vervalsen of versleutelde berichten offline te ontsleutelen. Nadat de aanvaller antwoorden heeft verzameld van het RSA-orakel, wat hem in staat stelt om specifieke waarden toe te dienen, kan de toegang tot het orakel zelfs verdwijnen. Het vervalsen van een willekeurige handtekening of het ontsleutelen van een bericht kost daarna nog zo'n 180 core-jaren extra en kan offline herhaald worden. De methode zelf herstelt echter nooit de priemfactoren of de private RSA-sleutel.

De aanval is geen universele breuk van RSA, omdat een aanvaller tijdelijke toegang nodig heeft tot een onbewerkt exponentieel orakel. Dit type orakel wordt door conventionele RSA-handtekeningen met PKCS#1 v1.5 of RSA-PSS-padding normaal gesproken niet blootgesteld. Waarschijnlijker doelwitten zijn interfaces van Hardware Security Modules (HSM's) die onbewerkte PKCS#11 RSA-bewerkingen toestaan, en 'blind-signature'-protocollen zoals Privacy Pass, waar geblindeerde verzoeken het benodigde orakelgedrag kunnen bieden.

Voor 2048-bit RSA schatten de onderzoekers de benodigde rekenkracht op 2^90 en 2^43 orakel-queries, wat vergelijkbaar is met de gangbare toekenning van 112-bit factorisatiekracht. Ze projecteren voor 4096-bit RSA ruwweg 2^119 rekenkracht, wat onder de moderne beveiligingsdoelstelling van 128-bit blijft.

Momenteel zijn de kosten voor deze aanval nog te hoog voor de meeste aanvallers. De methode kan echter relevant worden voor goed uitgeruste tegenstanders en voor protocollen die gebruikmaken van langlopende publieke sleutels.

Organisaties wordt geadviseerd om onnodige onbewerkte RSA-mechanismen uit te schakelen, hun HSM-beleid te auditen, orakel-blootstelling te beperken en kwetsbare 'blind-signature'-sleutels vaker te rouleren. Protocolontwerpers wordt aangeraden om nul-kennisbewijzen voor correct gevormde verzoeken te onderzoeken. Op langere termijn wordt migratie naar modernere handtekeningsschema's en post-kwantumcryptografie aanbevolen, in plaats van grotere RSA-sleutels als blijvende oplossing te beschouwen.