m kn n 0k − ∑ =

Niech „zakłócenie” spowoduje, Ŝe zamiast ( x d2 mod q ) do obliczenia „uszkodzonego
podpisu” s* wzięta zostanie losowa wartość r.
Wtedy:
σ = s - s* = [ c 1 ( x d1 mod p ) + c 2 ( x d2 mod q ) ] mod n +
- [ c 1 ( x d1 mod p ) + c 2 r ] mod n =
= [ c 2 ( x d2 mod q ) - c 2 r ] mod n =
= c 2 k’ mod n = p k” mod n
Przy „łucie szczęścia” (np. gdy k” jest niewielkie) moŜna łatwo sfaktoryzować wartość σ
i wyznaczyć p (!!!). W tym celu wystarczy wyznaczyć gcd(σ,
n ) = p (np. przy pomocy
algorytmu Euklidesa).
„Poprawka” A.Lenstry :
W rzeczywistości wystarczy x i s* (jedna próba !!!), gdyŜ:
„Panaceum”:
gcd[x - (s*) e mod n , n ] = p (!!!)
Jednym ze środków uniemoŜliwiających przeprowadzenie tego rodzaju ataku jest kontrola
poprawności wyniku przed jego udostępnieniem na zewnątrz i nie udostępnianie
jakichkolwiek zakłóconych rezultatów (a jedynie informacji o błędnym przetwarzaniu).
W.Chocianowicz – Kryptologia – semestr zimowy 2008/2009
str.128