O barulho do seu computador pode revelar suas chaves de criptografia

Você até pode achar que seu computador é silencioso demais – ou quem sabe muito barulhento. Qualquer que seja o caso, você jamais pensaria que esse ruído emitido por ele conseguiria entregar dados privados. Mas consegue – o barulho dos computadores pode revelar as chaves RSA que eles usam.

Uma equipe de pesquisadores da Universidade de Tel Aviv analisou gravações feitas próximo a computadores, e descobriu que, a partir do som emitido pelas máquinas, é possível recuperar, bit a bit, chaves RSA privadas. Como eles fizeram isso?

Em primeiro lugar eles identificaram que o som feito pelos computadores que estavam sendo gravados revelava quais instruções do processador estavam rodando, segundo o Naked Security. Assim, os pesquisadores conseguiram dizer se os computadores estavam adicionando ou multiplicando. Mais adiante, eles conseguiram identificar qual chave RSA dentro de uma lista delas estava sendo usada ouvindo a criptografia de uma mensagem fixa usando cada uma das chaves.

E então veio a parte mais interessante, como o Naked Security explica:

Os autores foram adiante, inventando uma maneira em que um cliente particular de email, bombardeado com milhares de mensagens criptografadas cuidadosamente trabalhadas, acaba vazando toda a sua chave privada RSA, um bit por vez.

Efetivamente, trata-se de explorar uma peculiaridade de RSA, que permite multiplicar um número aleatório na entrada antes da criptografia, e então dividi-lo após a decodificação sem afetar o resultado. Com isso, um invasor pode adicionar uma quantidade conhecida antes da criptografia e removê-la logo depois – a única forma de conseguir chegar a algum lugar com este ataque.

Evidentemente, há uma grande ressalva por aqui: isso só funciona com o software de criptografia RSA GnuPG 1.4.x, que está desatualizado, mas é possível que centenas de milhares de computadores ainda o usem. Então é uma falha evitável – e ao mesmo tempo bastante fascinante. [Universidade Tel Aviv via Naked Security]