对具有特殊 RSA 素数结构的 RSA 变体的密码分析

在本文中，当 RSA 模数的素因子的最低有效位满足某些条件时，我们对三种类型的 RSA 模数提出攻击。设 $p$ 和 $q$ 分别为 $p=a^{m_1}+r_p$ 和 $q=b^{m_2}+r_q$ 形式的素数，其中 $a,b,m_{1},m_{2} \in \mathbb{Z^+}$，$r_p$ 和 $r_q$ 是已知的。第一种攻击是当 RSA 模数为 $N=pq$ 且 $m_1$ 或 $m_2$ 为偶数时。如果 $\left(r_{p}r_{q}\right)^\frac{1}{2}$ 足够小，则可以在多项式时间内对 $N$ 进行分解。第二种攻击是当 $N=p^{s}q$，其中 $q>p$ 且 $s$ 整除 $m_2$ 时。如果 $r_pr_q$ 足够小，则可以在多项式时间内对 $N$ 进行分解。第三种攻击是当 $N=p^{s+l}q^{s}$，其中 $p>q$，$s,l \in \mathbb{Z^+}$，$l < \frac{s}{2}$ 且 $s$ 整除 $m_1l$ 时。如果 $a^{m_1}>qa^{\frac{m_1l}{s}}$ 且 $lr^3_p$ 足够小，则可以在多项式时间内对 $N$ 进行分解。