研究人员在硬件保险库内伪造RSA签名，未窃取其密钥

发生了什么

来自加州大学圣地亚哥分校的研究人员证明，通过向硬件安全模块（一种存储加密密钥的设备）发送多次查询，可以伪造1024位RSA签名，而无需从设备中提取私钥。

已确认

全球影响 / 市场背景

加密资产托管机构依赖硬件安全模块来保护私钥安全，这意味着密钥在防篡改硬件内部始终受到保护的假设可能并不充分。这可能会推动托管机构增加监控或改变签名请求的审批方式。

分析师推断

文章未点名具体资产或量化风险敞口。它暗示了为客户持有加密资产的业务面临额外的运营和安全风险，这可能推高其成本，影响投资者对托管服务的信心，并影响此类公司的估值方式。

分析师推断

下一步关注

1. 文章指出私钥从未从设备中被提取，因此伪造是通过重复查询而非窃取密钥本身实现的。 已确认
2. 加密资产托管机构可能会审查硬件安全模块允许的签名查询次数，增加限制，并在签署大额交易前要求额外的人工审批。 提议
3. 如果托管机构收紧查询限制或增加审批环节，签名可能变得更慢或成本更高，这可能影响交易速度、费用以及客户将资产存放在此类机构的意愿。 分析师推断

证据

• cryptopolitan.com