Un chercheur factorise les clés RSA 512 bits d'une AC des années 90

Matthew McPherrin est parti d’une question simple : à partir de quelle taille une clé RSA cesse-t-elle d’être hors de portée d’un particulier ? Comme les autorités de certification racines étaient jadis livrées à l’intérieur des installeurs de navigateurs, et qu’archive.org conserve des collections d’installeurs Internet Explorer et Netscape, la matière première était disponible. Il a téléchargé les deux collections, extrait les racines, publié la liste sur une page en ligne — en précisant lui-même qu’il n’a pas entièrement vérifié ce résultat produit par un LLM — puis filtré sur les plus petites clés marquées de confiance pour SSL.

Deux racines canadiennes oubliées depuis 2002

La cible est apparue : Netscape 4.51, livré en mars 1999, embarquait deux racines RSA de 512 bits appartenant à E-Certify, une autorité de certification canadienne depuis longtemps disparue. L’une était de confiance pour SSL, l’autre pour S/MIME. Internet Explorer, lui, ne semble jamais avoir livré la moindre racine 512 bits pour SSL, ce qui limite l’exercice à une fenêtre étroite du côté de Netscape.

Ces racines ont été retirées par Netscape en 2002 et ont expiré le 16 octobre 2003. Pour qu’un certificat émis avec elles soit accepté, il faut donc faire tourner Netscape 4.51 avec une horloge reculée avant cette date — un profil d’utilisateur que l’auteur chiffre à zéro personne sur la planète, sa propre machine virtuelle de test exceptée.

Trente-deux heures, puis vingt-neuf

La suite tient en une ligne de matériel. Son récit détaillé indique qu’il a lancé CADO-NFS sur un Ryzen 9 5950X, un processeur de bureau : 32 heures pour factoriser la clé de la racine serveur SSL, 29 heures pour celle de la racine client S/MIME. Deux factorisations, deux paires de nombres premiers, donc deux clés privées reconstruites — publiées dans le billet et dans le dépôt github.com/mcpherrinm/ancientroots.

Ce qui frappe, ce n’est pas la prouesse mais son absence de prouesse. Il n’y a ni ferme de calcul, ni budget, ni astuce mathématique inédite : un logiciel libre et deux jours et demi de ventilateur.

C’était déjà trop faible en 1999

Le plus instructif, c’est que la faiblesse n’a pas eu besoin d’attendre 2026 pour être démontrée. RSA-155, une clé de 512 bits elle aussi, a été factorisée dans le courant de l’année 1999 — quelques mois après la livraison de Netscape 4.51. Une racine de cette taille n’aurait probablement pas dû partir dans un navigateur grand public, y compris avec les critères de son époque. À sa décharge : c’était le temps des restrictions à l’export sur la cryptographie, Netscape avait livré SSL en 1994 et Internet Explorer peu après, et il n’existait alors ni standard ni exigence minimale pour entrer dans un magasin de confiance.

Les repères d’aujourd’hui suivent la même pente, avec un cran de décalage. Le Web PKI a déprécié RSA 1024 il y a plus de dix ans ; McPherrin ne connaît aucune factorisation publique de cette taille, mais la considère à portée d’un État ou d’une organisation disposant d’un grand parc de machines. Il y a quelques jours, la clé de 862 bits RSA-260 a été factorisée, la plus grande dont il ait connaissance. Le standard courant est à 2048 bits minimum, et il est lui-même promis à la dépréciation à cause du risque quantique.

Il a fallu réécrire un serveur TLS d’époque

Dernier détail révélateur de la distance parcourue : vérifier que les certificats forgés fonctionnaient a demandé un chantier à part, faute du moindre recouvrement entre les capacités TLS de Netscape 4.51 et celles d’une pile moderne. D’où un serveur TLS sur mesure écrit en Go, hébergé publiquement sur e-certify.fly.dev, et qui ne s’ouvre dans aucun navigateur actuel.

Une racine de confiance ne devient pas dangereuse le jour où sa clé tombe : elle l’était déjà, on l’ignorait juste. Ici, ce qui protège encore les deux clés publiées, ce n’est pas leur cryptographie — c’est une date d’expiration en 2003 et le fait que votre horloge soit à l’heure.