不用量子计算机，旧密钥与特定场景下的RSA也裂了

密码学界最近被一篇论文敲了一下闷棍。加州大学圣地亚哥分校教授 Nadia Heninger 与清华大学薛鹏（Ce Ge）、李瑞涵（Ruihan Li）、王小云（Xiaoyun Wang）等合作者，于2025年3月在IACR ePrint预印本网站（编号2025/363）发布了题为 《Breaking RSA May Be Easier Than Factoring》 的研究。核心结论是：在特定密钥生成场景下，恢复RSA私钥的成本可以远低于分解大整数，所需计算资源最多能下降好几个数量级。目前该论文尚在同行评审流程中。Ars Technica 的报道标题很直白：There's a New Way to Break RSA Encryption（破解RSA有了新方法）。

我们的判断是：这次研究的现实风险有限，但产业信号极强——在后量子迁移的关键窗口期，「继续用RSA凑合几年」这条路可能正在被堵死。对手里攥着几十万台联网设备的机器人厂商和工业客户而言，这不是茶余谈资，是采购清单上的事。

🕳️ 一道绕开因数分解的暗门

RSA的安全性，几十年来一直建立在一条几乎不被人质疑的假设上：想破解它，就得分解大整数。

Allurity 创新负责人、密码学专家 Karsten Nohl 在采访里把这种共识讲得很清楚：“RSA的破解难度等同于大整数分解难度——至少我们过去是这么认为的。这项研究提示，你可以在不分解模数的情况下实际攻破RSA。”他补充说，如果这个结果能通过同行评审，“那确实是一次概念性的突破”。

Heninger团队的论文指出的，是当前RSA类安全假设中的一道缺口。攻击路径不正面硬刚大数分解，而是瞄准了密钥生成环节——论文从理论上证明：如果一台设备生成RSA密钥的过程足够“慢”、足够有结构（这在嵌入式设备上并不罕见），攻击者恢复私钥的总成本可以低于分解模数的成本。钥匙本身比保险柜先被攻破。

用大白话讲：以前大家防的是「小偷撬保险柜」，现在的思路是——如果某些保险柜的生产工艺本身有结构性缺陷，小偷可以不撬柜子，直接把钥匙做出来。RSA-1024这把旧锁，正是论文反复演示的对象。

需要立刻泼一盆冷水的是：广泛使用的RSA实现目前是安全的。研究针对的是特定密钥生成条件下的场景，结果尚待同行评审。多位接近学术圈的人士私下评价，这篇论文更大的价值在于揭示了安全假设层面的结构性缺口，而不是提供一个明天就能用的攻击工具。

但对密码学社区来说，“假设出现了缺口”这件事本身，比任何一次具体攻击都更值得警惕。

📉 1024位密钥，学术集群跑几个月就破

金句先放上：过去要一个国家才搬得动的算力，现在一个大学实验室就够了。

这里有几个具体数字。按公开估算，用数域筛法（NFS）分解一个1024位RSA模数，需要10²⁰量级的 elementary operations，成本以数百万美元计，历史上只有国家级机构或头部大厂才可能凑齐这样的资源；而NIST对RSA-2048给出的安全强度约为112比特，对RSA-3072约为128比特——余量是按「未来几十年」设计的。

论文里最扎眼的数据点是：把这种攻击用在已被废弃的1024位RSA密钥、且密钥生成过程符合论文假设的场景上，据论文估计，一个学术级CPU集群跑几个月就能完成私钥恢复。与传统因数分解的成本相比，中间的差距就是「好几个数量级」。论文同时给出了理论边界：对标准方式生成的RSA密钥，破解难度仍等价于因数分解——缺口的暴露面，恰好落在那些密钥生成过程“不标准”的长尾设备上。

这里的产业逻辑要分三层看：

第一层，短期无需恐慌。主流RSA实现是安全的，1024位早已被标准组织废弃，正经厂商不该还有新货在用它。

第二层，长尾很麻烦。「已废弃」不等于「已消失」。工业现场、嵌入式设备、老旧固件里，1024位甚至更弱密钥的存量远比人们以为的多，而嵌入式设备恰恰是「密钥生成过程慢、有结构」的重灾区。一台2010年代出厂的设备，密钥可能一辈子都不会被主动更换。

第三层，假设动摇了。安全余量这种东西，从来不是线性消耗的。今天在1024位上出现数量级的突破，明天同行评审通过、攻击被改良、算力再涨一波，2048位的余量还剩多少，没人敢打包票。

一位接近标准制定圈子的人士私下说，这类论文的真正作用，是给迁移进度表「上闹钟」——不是狼来了，是提醒大家狼的奔跑速度比模型预测的快。

⚛️ 后量子迁移，RSA还要不要留

Heninger本人的立场，才是这篇论文最有产业含义的部分。她认为，这道安全假设上的缺口，为在后量子迁移期间彻底放弃RSA提供了经典密码学层面的证据。

注意措辞：不是「等量子计算机来了再说」，而是在当前的迁移窗口期内，经典计算的证据已经足够支持离开RSA。

这背后是一个容易被忽略的行业现实：后量子迁移的讨论，过去大多由「量子威胁」这一个动机驱动。而量子计算机什么时候真能跑破RSA，业界吵了十年没有定论。于是很多机构的迁移计划被排到了2030年代——反正量子计算机还远，急什么？

现在逻辑变了：不需要量子计算机，经典算力上的研究进展也在侵蚀RSA的假设基础。迁移的理由从「一种可能到来的威胁」变成了「已观测到的假设缺口」。这两种理由对预算审批的杀伤力，完全不在一个量级。

对设备厂商而言，迁移决策链条大概是这样的：

业内的共识正在从「要不要迁」转向「迁多快」。而迁多快这件事，对云厂商是季度级问题，对卖机器人的公司，是十年级问题——因为设备一旦出手，密钥就在客户那里了。

🤖 机器人军团的长尾密钥，才是真问题

为什么密码学的坏消息，机器人行业要格外上心？答案是一个词：长尾。

一台工业机械臂的设计寿命是十五到二十年。一台部署在仓库里的AMR，固件可能五年没升级过。这些设备的密码体系，普遍嵌在安全启动（Secure Boot）、OTA固件验签、TLS通信证书里，其中大量还在用RSA——因为嵌入式芯片的密码加速器对RSA支持最成熟，换算法意味着换芯片、改固件、重新认证。

而机器人设备的信任链条，恰恰建立在「私钥不泄露」这个前提上：

这条链的每一环都建立在「私钥安全、签名不可伪造」的假设上。新研究动摇的，正是这个假设的地基——它证明私钥本身可能在密钥生成环节被更便宜地恢复出来。虽然当前广泛使用的实现仍然安全，但把时间轴拉长到一台机器人的服役周期——你2025年出厂的设备，要用同一套验签逻辑扛到2040年，中间要穿越整个后量子迁移期。

这跟云端的「先收集后解密」风险还不同：私钥一旦被恢复，直接指向的是设备控制权。一旦信任链条在某个长尾环节被绕过，恶意固件可以通过OTA通道进入成千上万台设备。对工业客户来说，这不是数据泄露，是产线安全问题。

所以真正该焦虑的不是密码学家，是那些密钥「出厂即定格」的硬件产品线。

🛠️ 给设备厂商的三件事

落到执行层面，这波研究给出的启示其实很朴素：别等攻击成熟了再动手，密钥管理的债，越早还得越便宜。

• 第一步：盘点存量。搞清楚你手上有多少设备在用什么规格的密钥、密钥是怎么生成的，1024位一律视为高危，立即列入替换清单；
• 第二步：建立轮换机制。从「出厂定格」转向可远程更新密钥与证书的架构，哪怕暂时还用RSA，也要保证未来能换；
• 第三步：预埋混合验证。在新品固件里预留混合密码方案的验证能力，让设备在后量子算法标准完全落地时可以平滑切换，而不是再卖一代「出厂即过时」的硬件。

一位做工业安全的朋友说得直白：密码学论文十年才炸一次，但设备密钥一旦埋下去就是二十年。时间窗不对等，这才是工程师真正要做决策的地方。

结语

这次研究没有宣布RSA的死刑，通行实现依然安全，同行评审也还没走完。但它干了一件更重要的事：把「RSA的安全假设可能不牢」从纯理论担忧，变成了有经典计算证据支撑的产业议题。Heninger的判断值得每一家硬件厂商认真对待——在后量子迁移期，离开RSA的理由，已经不只有量子计算机了。机器人这种十年生命周期的品类，密码架构的决策窗口，其实比大多数团队以为的要短得多。