Enkripsi dan tanda tangan RSA dijelaskan dari awal

Dalam satu kalimat: RSA adalah kriptografi kunci publik — siapa pun dapat mengenkripsi untuk Anda dengan kunci publik atau memverifikasi tanda tangan Anda, tetapi hanya kunci privat yang dapat mendekripsi atau menandatangani — dan keamanannya bertumpu pada fakta bahwa memfaktorkan bilangan 2048-bit menjadi dua bilangan prima berada di luar jangkauan komputer mana pun yang ada.

Apa yang sebenarnya dihitung RSA

Dua bilangan prima dan pintu jebak. Kunci RSA dimulai sebagai dua bilangan prima acak besar p dan q; hasil kalinya n (modulus, karena itu disebut "kunci 2048-bit") dipublikasikan dalam kunci publik bersama eksponen e (hampir selalu 65537). Kunci privat adalah pasangan d, invers modular dari e − dihitung dari p dan q — ditambah jalan pintas yang diturunkan dari bilangan prima yang mempercepat operasi kunci privat hingga 4×.

Enkripsi dan penandatanganan adalah eksponensiasi yang sama. Mengenkripsi blok pesan m berarti menghitung m^e mod n; mendekripsi adalah c^d mod n. Menandatangani blok yang sudah diformat dengan eksponen privat dan memverifikasinya dengan yang publik adalah operasi yang sama dalam arah sebaliknya. Semua yang lain di halaman ini — OAEP, PSS, PKCS#1 — adalah tentang memformat blok itu dengan aman agar eksponensiasi mentah tidak pernah terbuka.

Mengapa lambat. Satu operasi RSA pada kunci 2048-bit memakan CPU sekitar sejuta kali lebih banyak daripada mengenkripsi satu blok dengan AES. Itulah sebabnya TLS menggunakan RSA (atau ECC) hanya untuk menyepakati kunci AES acak, lalu beralih. Aturan yang sama berlaku untuk apa pun yang Anda bangun: RSA untuk kunci, AES untuk data.

Ukuran kunci. Panjang modulus adalah tuas keamanan: 1024-bit sudah dianggap tidak aman menurut kebijakan (pemfaktoran berada dalam jangkauan negara-negara besar), 2048-bit ≈ kekuatan simetris 112-bit, 3072-bit ≈ 128-bit, 15360-bit akan setara dengan kunci simetris 256-bit. Catatan pasca-kuantum: algoritma Shor memecahkan RSA sepenuhnya pada komputer kuantum besar — satu alasan lagi untuk menjaga masa berlaku kunci tetap terbatas.

OAEP: satu-satunya padding enkripsi yang harus Anda gunakan

Masalah RSA mentah. RSA buku teks (m^e mod n pada pesan mentah) bersifat deterministik dan dapat dimanipulasi: pesan yang sama dienkripsi dengan cara yang sama, seorang penyerang dapat mengalikan ciphertext dengan enkripsi dari 2 agar plaintext menjadi dua kali lipat, dan pesan pendek jatuh ke serangan meet-in-the-middle. Ini tidak boleh pernah digunakan secara langsung.

Apa yang dilakukan OAEP. OAEP (PKCS#1 v2, RFC 8017) mencampur pesan dengan benih acak melalui jaringan Feistel berbasis hash sebelum eksponensiasi. Hasilnya: enkripsi bersifat acak (plaintext yang sama menghasilkan ciphertext yang berbeda setiap kali — jalankan Sampel OAEP dua kali dan bandingkan), manipulasi terdeteksi saat dekripsi, dan pesan harus muat di dalam modulus dengan ruang untuk hash — batas k−2·hashLen−2 yang ditabulasikan di atas.

Label. String publik opsional yang diikat ke dalam padding. Kedua sisi harus memberikan label yang sama persis atau dekripsi gagal — seperti AAD di AES-GCM, ia memungkinkan Anda mengikat ciphertext ke konteks (nama berkas, id algoritma). Kosong adalah hal yang normal.

Enkripsi PKCS#1 v1.5 sengaja tidak ada. Padding dari era 1993 itu tidak memiliki integritas dan membocorkan informasi melalui perilaku kesalahan dekripsi (serangan Bleichenbacher 1998 mengubah padding oracle menjadi dekripsi penuh dengan beberapa juta ciphertext buatan; ia masih memecahkan sistem nyata sebagai ROBOT, 2017). WebCrypto menolak untuk mengimplementasikannya; halaman ini juga.

Tanda tangan PSS vs PKCS#1 v1.5

Tanda tangan = hash, lalu padding, lalu eksponensiasi. Kedua skema menghash pesan (SHA-256/384/512 di sini), memformat digest menjadi sebuah blok, dan menerapkan eksponen privat. Verifikasi memformat ulang blok dengan kunci publik dan membandingkannya. Perbedaannya ada pada pemformatannya:

Skema	Isi blok	Properti
RSASSA-PKCS1-v1_5	digest + header digest-info, deterministik	Setiap tanda tangan dari pesan yang sama identik byte demi byte (periksa self-test: vektor v1.5-nya tetap). Dukungan lama yang universal: sertifikat X.509, JWT RS*, TLS sebelum 1.3. Tidak ada pemalsuan yang diketahui jika verifikasi diimplementasikan dengan benar.
RSA-PSS	digest + salt acak sepanjang hash, masking MGF1	Acak — setiap tanda tangan berbeda. Aman secara terbukti dalam model random-oracle; diwajibkan dalam sertifikat TLS 1.3 dan protokol yang lebih baru. Pemverifikasi harus mengetahui panjang salt (halaman ini menggunakan panjang hash, default yang umum).

Mana yang dipilih. Desain baru: PSS. Interop dengan sertifikat yang ada, JWT (RS256), atau peer lama: v1.5. Keduanya aman sebagai skema tanda tangan — kisah bencana v1.5 menyangkut padding *enkripsi*, konstruksi yang berbeda meskipun namanya mirip.

PKCS#1 vs PKCS#8 vs SPKI: mengapa kunci yang sama memiliki empat PEM

PEM hanyalah DER yang dibungkus base64. Berkas PEM adalah label ditambah base64 dari struktur DER (ASN.1 biner). Label memberi tahu struktur yang mana — dan itulah seluruh perbedaan antara keempat format yang dihasilkan halaman ini:

Label PEM	Struktur DER	Berisi
-----BEGIN PUBLIC KEY-----	SubjectPublicKeyInfo (SPKI)	OID algoritma + kunci publik (n, e). "Kunci publik" bawaan di mana-mana.
-----BEGIN RSA PUBLIC KEY-----	PKCS#1 RSAPublicKey	Hanya (n, e). OpenSSL lama dan beberapa tumpukan tertanam.
-----BEGIN PRIVATE KEY-----	PKCS#8 PrivateKeyInfo	OID algoritma + kunci privat. Wadah yang tidak bergantung algoritma, bawaan modern.
-----BEGIN RSA PRIVATE KEY-----	PKCS#1 RSAPrivateKey	n, e, d, p, q, …. Keluaran `genrsa` OpenSSL klasik.

Kunci sama, pembungkus berbeda. Keempat kotak di atas setelah Buat berisi pasangan kunci yang sama — SPKI dan PKCS#1 publik berisi n, e yang identik; PKCS#8 dan PKCS#1 privat berisi nilai privat yang identik. Halaman ini mengonversi di antara keduanya tanpa kehilangan di peramban (self-test-nya melakukan roundtrip konversi). Mencampuradukkan format adalah penyebab paling umum dari kesalahan "kunci tidak valid" saat menempelkan kunci di antara alat.

PEM terenkripsi (-----BEGIN ENCRYPTED PRIVATE KEY-----) adalah PKCS#8 dengan lapisan enkripsi berbasis kata sandi. Halaman ini tidak menerimanya — dekripsi secara offline (openssl pkcs8 -in enc.pem -out plain.pem) terlebih dahulu.

Kesalahan umum

Mengenkripsi data besar dengan RSA. Di luar batas ukuran OAEP yang ketat, ini sangat lambat. Polanya: buat kunci AES acak, enkripsi kunci AES dengan RSA-OAEP, enkripsi data dengan AES-GCM, kirim kedua bagian.
Mengirim kunci privat karena "ini hanya tes". Kunci contoh yang tertanam dalam vektor halaman ini dipublikasikan dengan sengaja — mereka hanya dapat menandatangani data uji. Kunci Anda tidak seperti itu.
Memverifikasi dengan kunci privat. Biasanya "berfungsi" secara matematis dan beberapa alat mengizinkannya, tetapi mendistribusikan kunci privat kepada pemverifikasi menggagalkan seluruh model. Verifikasi dengan kunci publik (halaman ini menegakkannya).
Membandingkan tanda tangan byte demi byte untuk memeriksa kode. PSS (dan OAEP) bersifat acak: dua eksekusi yang benar menghasilkan keluaran yang berbeda. Bandingkan dengan memverifikasi, bukan dengan kesamaan — hanya tanda tangan v1.5 yang deterministik.
Kunci 1024-bit "karena lebih cepat". Mereka juga berada dalam jangkauan pemfaktoran yang didanai dengan baik. Argumen kecepatan mati bersama enkripsi hibrida: RSA berjalan sekali per sesi, bukan per byte.
Mengodekan panjang salt selain panjang hash untuk PSS. Pemverifikasi harus sepakat; panjang hash (pilihan halaman ini dan -sigopt rsa_pss_saltlen:32 OpenSSL) adalah default yang dapat diinteroperasikan.

FAQ

Mengapa dekripsi gagal dengan "kunci salah, hash salah, atau ciphertext rusak"? Dekripsi OAEP gagal ketika salah satu dari: itu bukan kunci privat yang cocok, hash berbeda dari sisi enkripsi, label berbeda, atau satu byte ciphertext berubah. Pesan kesalahannya sengaja sama untuk semua kasus — mengungkap pemeriksaan mana yang gagal adalah kebocoran padding-oracle itu sendiri.

Bisakah kunci publik diperoleh dari kunci privat? Bisa — format privat juga berisi n dan e. Halaman ini menampilkan keduanya setelah Buat; OpenSSL melakukannya dengan openssl pkey -in priv.pem -pubout.

Mengapa 65537 sebagai eksponen? Ia bilangan prima, hanya memiliki dua bit 1 (eksponensiasi cepat), dan cukup besar untuk menghindari serangan eksponen rendah yang menyerang e=3. Ia telah menjadi pilihan standar sejak 1990-an; eksponen "aneh" biasanya berarti kunci yang lemah atau tidak standar.

Apakah RSA sudah mati karena komputer kuantum? Belum — tidak ada mesin yang dapat menjalankan algoritma Shor pada modulus 2048-bit. Tetapi data yang harus tetap rahasia hingga 2030-an sudah mulai dimigrasikan; skema hibrida PQC adalah jawaban rekayasanya.

Bagaimana dengan openssl rsautl? Ia adalah pendahulu yang sudah usang dari pkeyutl. Secara bawaan ia menggunakan padding enkripsi v1.5 — satu alasan lagi mengapa ia dipensiunkan.

Enkripsi / Dekripsi RSA