Атаки на RSA.

1.	Активная атака с помощью выбранного шифртекста.
Пусть злоумышленник Е перехватывает шифрованное сообщение с от корреспондента А к корреспонденту В. Пусть c = z(modn), где z- открытый текст, е- открытый ключ и , где d- секретный ключ. Е хочет прочитать открытый текст  z. Для этого Е выбирает  число r, r < n, и вычисляет с помощью открытого ключа      

так, что  
Пусть Е подписывает у А  y с помощью секретного ключа d, т.е.
.
Затем Е вычисляет
.
Таким образом, Е читает z.
2.	Предположим, что Е хочет получить подпись на число N у А, а А никогда не подпишет N. Тогда Е выбирает произвольным образом Х и вычисляет 
.
Затем Е вычисляет M = Y  N  и посылает А на подпись. А подписывает М и возвращает Е число . Е вычисляет  

, 
что и является подписью N.
3.	Пусть Е хочет подписать у А  число . Тогда Е генерирует 2 сообщения  и  так, что
.
Подписав у А сообщения  и ,  Е затем вычисляет подпись для :

4.	Атака с использованием общего модуля.
Пусть у всех абонентов сети один модуль n и различные секретные и открытые ключи. Рассмотрим открытый текст Р и предположим, что он зашифрован на двух различных открытых ключах e и e

Тогда в силу обобщённой теоремы Евклида, существуют такие числа r и s, что
.
Пусть r отрицательно (отрицательно должно быть либо r, либо s). Тогда можно вычислить , используя алгоритм Евклида, а затем

5.	Атака с малой экспонентой.
Пусть е мало, например, 3 и используется для зашифрования одного и того же шифртекста х по различным модулям. Соответствующие шифртексты

и пусть - взаимно- простые числа. Следовательно,  Мы можем найти  из  используя обращение китайской теоремы об остатках, а затем найти х путём извлечения кубического корня из .