Атаки на RSA

Факторизация n (лучший — GNFS, record 2020: 829 бит за 2700 CPU-лет). Timing attacks: измерение времени возведения в степень выявляет биты ключа (защита — constant-time implementation, blinding). Chosen ciphertext attacks: если m мало (e=3, m³ < n), берём кубический корень, OAEP защищает. Common modulus attack: если два пользователя используют одно n но разные e₁, e₂, атакующий восстанавливает m (защита — уникальное n). Wiener attack: если d < n^(0.292), можно найти d через continued fractions (защита — большое d > n^0.5)