m kn n 0k − ∑ =

3. Atakujący wysyła atakowanemu kolejne „kryptogramy” C 1 , C 2 , ..., obserwując jego
reakcję na przebieg deszyfrowania.
4. Na podstawie znajomości formatu atakujący wiedząc, które z „kryptogramów” są
„dobrymi kryptogramami”, wnioskuje o pewnych bitach odpowiedniej „wiadomości
jawnej”:
M i = (C i ) d mod n =M r i mod n .
5. Na podstawie znajomości odpowiedniej liczby bitów M i atakujący jest w stanie
„zawęzić” przedział, w którym musi się znajdować poszukiwana wartość M (kaŜdy
„dobry kryptogram” zmniejsza ten przedział dwukrotnie).
Zakładając, Ŝe długość modułu przekształcenia RSA jest zazwyczaj wielokrotnością
8 bitów, zaś długość odszyfrowanej wiadomości M i nie jest zazwyczaj sprawdzana po
zdeszyfrowaniu, skuteczny atak na 1024-bitowe RSA wymaga około 2 20 prób (!).
W wersji PKCS #1 v.2.0 z października 1998 roku zalecono odmienną formułę szyfrowania,
zwaną OAEP (Optimal Asymmetric Encryption Padding), odporną na ten atak, zaś w fazach
konstrukcji kryptogramu wykorzystujących funkcję skrótu zalecającą SHA-1 (Secure
Hash Algorithm).
W.Chocianowicz – Kryptologia – semestr zimowy 2008/2009
str.150