RSA裂了条缝，机器人先慌了

密码学界有条几十年没人动摇的铁律：破RSA，约等于分解大整数。现在，这条铁律被一篇论文撬松了。

据Ars Technica报道，一项由加州大学圣地亚哥分校教授Nadia Heninger参与撰写的新研究，找到了一条“签名伪造”的攻击路径——不分解密钥，也能把RSA签名“做”出来。用经典计算机就能把现有RSA安全等级压到“不可接受的低阈值”，所需算力直接下降几个数量级。

主流实现暂时安全，1024位老密钥才真正中招。但对机器人、车联网、工业嵌入式这些“部署一次、跑十年”的行业来说，后量子迁移的倒计时，可能要重新拨快了。

🔐 一篇论文，砸了密码学的一块基石

密码学社区这次是真的被惊到了。

事情的核心是一个概念：签名伪造。过去所有人的共识是，RSA的安全性等价于大整数分解难题——想伪造签名，就得先把密钥分解出来，别无他路。“RSA有多难破解，就有多难分解大整数，至少我们过去是这么认为的。”Allurity创新负责人、密码学专家Karsten Nohl在接受采访时直言，研究者提出的是“可以实际绕开破解密钥本身来攻破RSA”。

Nadia Heninger及其合作者在论文中指出，当前RSA类安全假设存在一个“缺口”（gap）。这个缺口给出的，是经典密码分析层面的证据——不依赖量子计算机，就足以支持一个激进结论：在后量子迁移期，应该彻底放弃RSA。

据多位接近密码学社区的观察，这篇论文目前还在同行评审阶段，圈内普遍持“谨慎兴奋”态度。Karsten Nohl的原话很有代表性：“如果这个结果经得起同行评审，那确实是一次概念层面的突破。”

对产业界来说，这句话的分量不亚于论文本身。加密体系是整个数字世界的信任地基，地基的“安全假设”一旦出现裂缝，哪怕短期无解可乘，所有建在地基上的行业——尤其是把安全启动、固件签名、云端身份验证写进产品生命的机器人行业——都必须重新审视自己的假设清单。

⚖️ 几个月的学术集群，对比国家队的超算

金句是：攻击门槛的下降，比攻击本身更值得警惕。

先看一组硬对比。研究团队把这套签名伪造攻击应用在了已被弃用的1024位RSA密钥上，用一套学术级CPU集群跑了几个月就拿到了结果。而按照传统估算，分解一个1024位整数所需的资源，只有国家级机构或财力雄厚的巨头才够得着——两者之间的算力门槛，差了好几个数量级。

需要划重点的是：广泛使用的RSA实现目前是安全的。这次被拿下的是早已被标准弃用的1024位密钥，实际风险“有限但依然显著”——这是Ars Technica报道中对这项研究风险的准确概括。

但产业逻辑不能只看当下。攻击成本从“国家行为体专属”降到“一流高校课题组可负担”，意味着威胁模型的整体重心前移。今天只是1024位，明天随着假设缺口被继续挖掘，更高位数的RSA是否还稳？没人敢打包票。安全行业的老话在这时格外应景：密码学没有“暂时没事”，只有“还没轮到”。

🤖 机器人行业，为什么先睡不着

金句是：密码学论文里的“几年”，到了硬件行业就是“一代产品”。

这和机器人有什么关系？关系比想象中大。

现代机器人本质上是一队联网的嵌入式计算机集群：控制器、传感器、边缘网关、云平台，层层都要靠非对称加密撑起信任链——安全启动验签、固件OTA签名、设备与云端TLS握手、车队身份认证，很多环节至今跑在RSA或以RSA为过渡的混合方案上。

问题恰恰出在“十年”上。IT系统换密码算法，重装个补丁就完事；而一台已经部署在工厂产线、矿区、仓库里的机器人，它的安全芯片、引导程序、甚至固件签名校验逻辑，可能从出厂那一刻就焊死了。要给存量设备换算法，意味着固件重写、硬件可能都要动——这从来不是一次“推送更新”能解决的事。

据多位接近设备厂商的人士私下交流，行业里对后量子迁移的普遍心态还是“量子计算机没造出来，不急”。而这篇论文最扎心的地方在于：它证明了不需要等量子计算机，经典密码分析的进步本身就可能让RSA的假设提前失效。安全窗口不是被量子挤压的，是被数学挤压的。

更麻烦的是长尾存量。工业现场的设备寿命动辄十五年起，今天出厂的新机器人，大概率要带着现行的信任链跑到2040年代。假如RSA类假设在这期间被进一步击穿，这些设备就是悬在整个行业头顶的定时雷区。

📦 后量子迁移，从“可以慢慢来”变成“得抢跑”

金句是：迁移成本不会因为你拖延而降低，只会因为你拖延而变贵。

Nadia Heninger在论文中的立场非常明确：这个缺口给出的经典密码分析证据，支持在当前后量子迁移期彻底离开RSA。翻译成产业语言就是：不要再把RSA当作过渡期的默认选项，能换就换。

对机器人与设备厂商来说，这件事的执行难度可以拆成三层：

第一层，密钥资产清点。 大多数厂商根本说不清自己的产品里有多少处用了RSA、密钥多长、哪些签在固件里、哪些躺在安全芯片中。看不见的东西，谈不上保护。

第二层，密码敏捷性改造。 把“写死在某一代固件里的算法”改成“可配置、可热替换的加密模块”。这是工程量的主力，也是日后每次算法升级的成本摊薄器。

第三层，存量设备处置。 已经出厂且无法升级信任根的设备，要么接受风险敞口，要么做硬件召回——两条路都不便宜，但必须现在就开始算账。

值得注意的是节奏错配：云上系统切换算法可能按月计，嵌入式设备按年计，而被焊死的老硬件按产品代际计。产业链里任何一环掉队，整条信任链都可能从最旧的那个节点断开。

写在最后

这次研究没有制造可直接利用的灾难——主流RSA实现依然安全，这必须说清楚。但它戳破了一个更危险的东西：确定性的幻觉。

对密码学家，这是一次“如果经得起评审就是概念性突破”的冲击；对机器人、工业自动化、车联网这些把安全假设浇筑进硬件的行业，这是一次免费预警。后量子迁移的逻辑从“防备未来的量子计算机”，变成了“防备随时可能被扩大的经典分析缺口”——动机变了，紧迫性也就变了。

论文还在评审，结论未盖棺。但聪明的厂商已经开始做一件事：盘点自己产品里每一把RSA密钥的年龄、位置和可替换性。毕竟在安全这件事上，最贵的永远是“早知道”和“晚知道”之间的差价。