10. Considerazioni di sicurezza

Le considerazioni di sicurezza sono trattate nelle varie parti di questo documento.

Aspetti principali della sicurezza

La sicurezza delle chiavi RSA dipende in larga misura dalla dimensione del modulo. Le lunghezze minime raccomandate sono:

2048 bit: minimo attualmente raccomandato;
3072 bit: raccomandato per applicazioni ad alta sicurezza;
4096 bit: per chiavi di lunga durata o requisiti di sicurezza molto elevati.

RSAES-OAEP: DEVE essere supportato come schema di cifratura per le nuove applicazioni;
RSASSA-PSS: schema di firma RACCOMANDATO per le nuove applicazioni;
PKCS1-v1_5: mantenuto solo per compatibilità e presenta debolezze note.

Generazione casuale: deve essere usato un generatore di numeri casuali crittograficamente sicuro.
Attacchi laterali: l'implementazione dovrebbe prevenire attacchi temporali e analisi del consumo energetico.
Gestione degli errori: i messaggi di errore per decrittazione e verifica dovrebbero essere uniformi, per evitare fughe di informazioni.
Attacchi di padding oracle: RSAES-PKCS1-v1_5 è vulnerabile agli attacchi di Bleichenbacher e richiede particolare attenzione.

Uso singolo: una coppia di chiavi RSA dovrebbe essere usata per un solo schema, cifratura oppure firma, e non per entrambi;
Rotazione delle chiavi: sostituire le chiavi periodicamente;
Protezione della chiave privata: memorizzare la chiave privata cifrata; l'uso di un Hardware Security Module (HSM) è una buona pratica.

Attacchi a testo cifrato scelto: RSAES-OAEP fornisce protezione;
Attacchi a messaggio scelto: RSASSA-PSS fornisce protezione;
Attacchi di Bleichenbacher: interessano RSAES-PKCS1-v1_5;
Attacchi temporali: prestare attenzione quando si usano algoritmi a tempo costante e l'accelerazione CRT.

Si veda la sezione 6 per la discussione sull'evitare l'uso della stessa coppia di chiavi in più schemi.