22、RSA多小秘密指数的密码分析

RSA多小秘密指数的密码分析

1. 引言

1.1 背景

小秘密指数RSA

小秘密指数RSA因其低解密和签名生成成本而高效，但已知存在安全风险。假设解密指数小于 $N^β$ ，Wiener提出了多项式时间算法来分解公钥模数 $N$ ，该算法在 $β < 0.25$ 时有效，其通过计算有理数的丢番图逼近构建。

Boneh和Durfee重新研究了Wiener的攻击，他们使用Coppersmith提出的基于格的方法来解决模方程，改进了算法。首先，他们构建的格给出了Wiener的界限 $β < 0.25$ ，然后通过在格基中添加一些额外的多项式，将界限改进到 $β < (7 - 2\sqrt{7})/6 = 0.28474 · · ·$ ，最后通过从先前的格中提取子格，实现了更强的界限 $β < 1 - 1/\sqrt{2} = 0.29289 · · ·$ 。尽管有几篇论文重新研究了这项工作，但都没有改进Boneh和Durfee的更强界限，而且他们的攻击也被应用到了RSA的变体中。

多小秘密指数RSA

当对于相同的公钥模数 $N$ 有多个公钥/私钥对 $(e_1, d_1), …, (e_n, d_n)$ 时，也考虑了对RSA的小秘密指数攻击的推广。所有私钥 $d_1, …, d_n$ 都小于 $N^β$ 。

• Howgrave - Graham和Seifert推广了Wiener的攻击，得到的界限如下：
  • 当 $n$ 为偶数时，$β < \frac{(2n + 1) · 2^n - (2n + 1)\binom{n}{n/2}