Non è noto alcun punto debole per alcun esponente pubblico breve o lungo per RSA, purché l'esponente pubblico sia "corretto" (cioè relativamente primo a p-1 per tutti i numeri primi p che divide il modulo).

Se usi un piccolo esponente e non usi alcun riempimento per la crittografia e crittografa esattamente lo stesso messaggio con diverse chiavi pubbliche distinte, quindi il tuo messaggio è a rischio: se e = 3 e crittografa il messaggio m con chiavi pubbliche n₁ , n₂ e n₃ , allora hai c _i = m ³ mod n_i per i = 1 a 3 . In base al Teorema cinese del resto, puoi quindi ricostruire m³ mod n ₁ n ₂ n ₃ , che risulta essere m³ (senza alcun modulo) perché n ₁n₂n₃ è un numero intero maggiore. Un'estrazione della radice del cubo (non modulare) è quindi sufficiente per estrarre m.

Il punto debole, qui, è non il piccolo esponente; piuttosto, è l'uso di un riempimento improprio (vale a dire, nessun riempimento) per la crittografia. Il riempimento è molto importante per la sicurezza di RSA, sia che si tratti di crittografia o firma; se non usi una spaziatura interna adeguata (come quelle descritte in PKCS # 1), allora hai molti punti deboli e quello delineato nel paragrafo sopra non è di gran lunga il più grande. Tuttavia, ogni volta che qualcuno si riferisce a una debolezza correlata alla dimensione di un esponente, si riferisce più o meno direttamente a questo evento. È un po 'di vecchia e scorretta tradizione, che a volte viene invertita in un divieto contro esponenti grandi (poiché è un mito, anche il mito inverso è un mito e non è più - e non meno - - motivato); Credo che questo sia ciò che osservi qui.

Tuttavia, si possono trovare alcuni motivi per evitare un grande esponente pubblico:

• Piccoli esponenti pubblici promuovono l'efficienza (per operazioni a chiave pubblica).

• Esistono problemi di sicurezza nell'avere un piccolo esponente privato ; è stato descritto un attacco di ripristino della chiave quando la lunghezza dell'esponente privato non supera il 29% della lunghezza dell'esponente pubblico. Quando si vuole forzare l'esponente privato ad essere breve (es. Per velocizzare le operazioni di chiave privata), è più o meno necessario utilizzare un grande esponente pubblico (grande quanto il modulo); richiedere che l'esponente pubblico sia breve può quindi essere visto come una sorta di contromisura indiretta.

• Alcune implementazioni RSA ampiamente distribuite soffocano su grandi esponenti pubblici RSA. Per esempio. il codice RSA in Windows (CryptoAPI, utilizzato da Internet Explorer per HTTPS) insiste nel codificare l'esponente pubblico all'interno di una singola parola a 32 bit; non può elaborare una chiave pubblica con un esponente pubblico più grande.

Tuttavia, "i rischi possono essere grandi" sembra la giustificazione generica ("questo è un problema di sicurezza" è il solito modo di dire "non l'abbiamo implementato ma non vogliamo ammettere alcun tipo di pigrizia").

Gli sviluppatori sono semplicemente sbagliati. Non c'è niente di sbagliato nell'esponente 0x4451 (decimale 17489); non crea problemi di sicurezza.

Molto tempo fa si pensava che i piccoli esponenti fossero un problema, a causa di un attacco che Thomas Pornin spiegava inviando lo stesso messaggio a più destinatari. Ma oggi si capisce che gli esponenti non c'entrano nulla; il problema era un'imbottitura impropria. Questi attacchi sono prevenuti da un uso corretto dell'imbottitura. Qualsiasi libreria crittografica degna di questo nome avrebbe fatto meglio a usare un riempimento appropriato (altrimenti hai problemi di gran lunga peggiori).

Quindi non c'è motivo per cui una libreria crittografica proibisca categoricamente l'uso di quell'esponente.

Detto questo, dal punto di vista delle prestazioni, minore è l'esponente, migliore è la prestazione. La scelta migliore è e = 3, perché offre le migliori prestazioni e non presenta problemi di sicurezza noti. (In realtà, e = 2 è anche un po 'meglio. È anche noto come crittografia Rabin. Tuttavia, questo schema non è così noto e richiede un codice leggermente diverso, quindi non è ampiamente utilizzato.)

Questi cinque numeri sono numeri primi di Fermat.

Dal momento che hanno la forma 2 ^k + 1, crittografia è m^e = m · (( m ^{2 sup>) 2 ... _{k volte} ...) 2 , che è più semplice e veloce dell'elevamento a potenza con un esponente di dimensione simile nel caso generale.}

Poiché sono numeri primi, il test che e è coprimo con ( p - 1) ( q - 1) è solo un test che e non lo divide.

Quindi questo è più probabile sulla velocità o le convenzioni che sulla sicurezza. Non che ci sia qualcosa di sbagliato nell'essere efficienti. Ma per sicurezza, chiedi un riferimento come suggerito dall ' altra risposta.

Vedi anche questo post.

Non sono a conoscenza di alcun motivo per cui l'esponente pubblico di una chiave RSA dovrebbe essere solo nell'insieme {3,5,17,257,65537}. Come hai detto, piccoli esponenti come 3 o 5 sono più rischiosi da usare, perché gli effetti negativi degli errori di implementazione (come un riempimento improprio) possono essere maggiori. Il NIST consente solo esponenti pubblici più grandi di 2 ^ 16, ma non conosco il motivo della loro decisione.

Non dovresti essere soddisfatto della risposta data dagli sviluppatori della libreria che usi e chiedi per un riferimento concreto. Troppo spesso si scopre che alcuni fogli sono stati fraintesi. Ad esempio, potrei immaginare che uno sviluppatore legga la Sezione 4 del documento "Can We Trust Cryptographic Software? Cryptographic Flaws in GNU Privacy Guard v1.2.3" di Phong Nguyen e giunga a una conclusione errata, come quella sopra. Questo documento nota che quando la chiave pubblica generata da GnuPG risulta essere un valore insolito come 65539, l'aggressore apprende alcune informazioni sulla chiave segreta La conclusione è che l'algoritmo di generazione della chiave di GnuPG potrebbe essere migliorato, ma non quello 65539 è una chiave pubblica non valida.

Non sono riuscito a trovare alcun riferimento al fatto che altri valori per l'esponente pubblico sono vulnerabili. L'uso di un esponente pubblico vicino a una potenza di 2 è consigliabile per motivi di prestazioni, secondo la guida RSA.com all'algoritmo RSA

Secondo Wikipedia, il NIST non consente un esponente pubblico inferiore a 65537, poiché gli esponenti più piccoli sono un problema se non sono adeguatamente riempiti.

Per citare l'articolo di Don Coppersmith del 1997 "Small Solutions to Polynomial Equations, and Low Exponent RSA Vulnerabilities":

La crittografia RSA con esponente 3 è vulnerabile se l'avversario conosce due terzi del messaggio .

Anche se questo potrebbe non essere un problema se viene utilizzato lo schema di riempimento RSA-OAEP, lo schema di riempimento PKCS # 1 (che viene fornito come schema di riempimento appropriato nelle risposte seguenti) è vulnerabile se viene utilizzato l'esponente pubblico 3.