RSA暗号
2010年5月8日 RSA-180 (596ビット)
2010年11月8日 RSA-190 (629ビット)
2005年11月2日 RSA-640 (640ビット)
2005年5月9日 RSA-200 (663ビット、10進200桁)
2013年9月26日 RSA-210 (696ビット、10進210桁)
2012年7月2日 RSA-704 (704ビット)
2016年5月13日 RSA-220 (729ビット)
2018年8月15日 RSA-230 (762ビット)
2020年2月17日 RSA-232 (768ビット)
2009年12月12日 RSA-768 (768ビット)
2019年12月2日 RSA-240 (795ビット)
2020年2月28日 RSA-250 (829ビット)
以下は未踏
RSA-896
RSA-1024
RSA-1536
RSA-2048
c ≡ m e ( mod n 1 n 2 n 3 ⋯ n e ) {\displaystyle c\equiv m^{e}{\pmod {n_{1}n_{2}n_{3}\dotsm n_{e}}}}
を求めることができる。このとき c < n 1 n 2 n 3 ⋯ n e {\displaystyle c<n_{1}n_{2}n_{3}\dotsm n_{e}} であり、また m はどの法 n よりも小さいため m e < n 1 n 2 n 3 ⋯ n e {\displaystyle m^{e}<n_{1}n_{2}n_{3}\dotsm n_{e}} であることから、
c = m e {\displaystyle c=m^{e}}
この c の e 乗根を求めることで平文 m が求められる。
これは e として特に 3 や 65537 は、2進数表示したときに 1 の個数が少ないために暗号化処理を高速化できるという理由から好んで用いられるために発生しうる問題である。実際の暗号への応用においてはフォーマットとして、m の一部に毎回生成する乱数を挿入することでこの攻撃を回避している。