【密码学百科】RSA 从原理到攻击：教科书 RSA 为什么不安全
💡
原文中文，约14400字，阅读约需35分钟。
📝
内容提要
RSA加密方案由里维斯特、沙米尔和阿德曼于1977年提出，是首个可用于加密和数字签名的公钥密码体制。尽管其数学基础优美，但在实际应用中存在安全隐患，如确定性加密和小消息攻击等。为解决这些问题，发展了RSA-OAEP和RSA-PSS等填充方案。随着量子计算的威胁，RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
🎯
关键要点
- RSA加密方案由里维斯特、沙米尔和阿德曼于1977年提出，是首个可用于加密和数字签名的公钥密码体制。
- RSA的安全性依赖于大整数分解问题，密钥生成过程中的每一步都至关重要。
- 教科书RSA存在确定性加密、乘法同态性和缺乏语义安全等根本性缺陷。
- Håstad广播攻击和Bleichenbacher攻击是针对RSA的具体攻击实例，展示了其脆弱性。
- RSA-OAEP和RSA-PSS是为解决教科书RSA缺陷而设计的填充方案。
- 随着量子计算的威胁，RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
❓
延伸问答
RSA加密方案的提出者是谁？
RSA加密方案由罗纳德·里维斯特、阿迪·沙米尔和伦纳德·阿德曼于1977年提出。
教科书RSA存在哪些安全隐患？
教科书RSA存在确定性加密、乘法同态性和缺乏语义安全等根本性缺陷。
RSA-OAEP和RSA-PSS是什么？
RSA-OAEP和RSA-PSS是为解决教科书RSA缺陷而设计的填充方案，分别用于加密和签名。
量子计算对RSA的影响是什么？
量子计算的威胁使得RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
Håstad广播攻击是如何工作的？
Håstad广播攻击利用相同明文在不同模数下的密文，通过中国剩余定理恢复明文。
为什么RSA逐渐被椭圆曲线密码取代？
RSA的密钥长度较长且性能较低，而椭圆曲线密码在相同安全等级下密钥更短，性能更优。
➡️
