m kn n 0k − ∑ =

Podatność algorytmu RSA na atak wybranym szyfrogramem
Algorytm RSA moŜe być wykorzystany zarówno do szyfrowania danych, jak i do ich
podpisywania. Jednak w tym drugim przypadku niedopuszczalne jest podpisywanie samej
wiadomości w formie jawnej. Schemat postępowania naleŜy koniecznie uzupełnić o funkcję
skrótu (lub inny mechanizm kontroli integralności danych, innym rozwiązaniem jest
wykorzystywanie dwóch róŜnych par kluczy do szyfrowania i podpisywania). PoniŜej
przedstawione scenariusze udanego ataku na RSA wyjaśniają, dlaczego jest to niezbędne.
Scenariusz 1:
Atakujący chce uzyskać „nielegalny” podpis złoŜony przy pomocy klucza d na pewnej
wiadomości M , którego nigdy by nie uzyskał w sposób legalny, prezentując do podpisania
wiadomość M. W tym celu generuje dwie „niewinne” wiadomości M1 i M2, takie Ŝe:
M = M1 * M2 mod n
i uzyskuje na obu tych wiadomościach podpisy: M1 d mod n oraz M2 d mod n,
a następnie „samodzielnie” wytwarza podpis na wiadomości M:
( M1 d mod n ) * ( M2 d mod n ) = ( M1 * M2 ) d mod n = M d mod n
W.Chocianowicz – Kryptologia – semestr zimowy 2008/2009
str.112