【密码学百科】RSA 从原理到攻击：教科书 RSA 为什么不安全
内容提要
RSA加密方案由里维斯特、沙米尔和阿德曼于1977年提出，是首个可用于加密和数字签名的公钥密码体制。尽管其数学基础优美，但在实际应用中存在安全隐患，如确定性加密和小消息攻击等。为解决这些问题，发展了RSA-OAEP和RSA-PSS等填充方案。随着量子计算的威胁，RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
关键要点
-
RSA加密方案由里维斯特、沙米尔和阿德曼于1977年提出，是首个可用于加密和数字签名的公钥密码体制。
-
RSA的安全性依赖于大整数分解问题，密钥生成过程中的每一步都至关重要。
-
教科书RSA存在确定性加密、乘法同态性和缺乏语义安全等根本性缺陷。
-
Håstad广播攻击和Bleichenbacher攻击是针对RSA的具体攻击实例，展示了其脆弱性。
-
RSA-OAEP和RSA-PSS是为解决教科书RSA缺陷而设计的填充方案。
-
随着量子计算的威胁，RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
延伸解读
RSA的安全隐患
尽管RSA加密方案在理论上具有优美的数学基础，但其在实际应用中却暴露出多种安全隐患。确定性加密和小消息攻击使得攻击者能够通过观察密文的重复性或穷举搜索来获取明文信息。因此，在使用RSA时，必须采用填充方案如RSA-OAEP来增强安全性。
量子计算的威胁
随着量子计算技术的发展，RSA的安全性面临前所未有的挑战。量子计算机能够在多项式时间内分解大整数，这意味着现有的RSA密钥长度在未来可能不再安全。密码学界正在积极研究后量子密码算法，以应对这一潜在威胁。
RSA的替代方案
由于RSA在密钥长度和性能上的局限性，椭圆曲线密码（ECC）逐渐成为更受欢迎的替代方案。ECC在相同安全等级下需要的密钥长度远小于RSA，这使得其在带宽和计算速度上具有明显优势，尤其适用于资源受限的环境。
延伸问答
RSA加密方案的提出者是谁？
RSA加密方案由罗纳德·里维斯特、阿迪·沙米尔和伦纳德·阿德曼于1977年提出。
教科书RSA存在哪些安全隐患？
教科书RSA存在确定性加密、乘法同态性和缺乏语义安全等根本性缺陷。
RSA-OAEP和RSA-PSS是什么？
RSA-OAEP和RSA-PSS是为解决教科书RSA缺陷而设计的填充方案，分别用于加密和签名。
量子计算对RSA的影响是什么？
量子计算的威胁使得RSA的未来面临挑战，密码学界正逐步向后量子密码算法迁移。
Håstad广播攻击是如何工作的？
Håstad广播攻击利用相同明文在不同模数下的密文，通过中国剩余定理恢复明文。
为什么RSA逐渐被椭圆曲线密码取代？
RSA的密钥长度较长且性能较低，而椭圆曲线密码在相同安全等级下密钥更短，性能更优。
