Rabin暗号
一方、復号は次のように行われる。暗号文を y とすると、次の2つの連立方程式の解 x が求める平文である。このとき、暗号化は単射ではなく、そのため復号の際に一意に平文を求めることができないことに注意を要する。
x 2 + B x − y = 0 ( mod p ) {\displaystyle x^{2}+Bx-y=0{\pmod {p}}}
x 2 + B x − y = 0 ( mod q ) {\displaystyle x^{2}+Bx-y=0{\pmod {q}}}
上記の方程式には4つの解が求まるが、4個の解から正しい平文を特定することはできない。正しい平文が求められるには、平文に十分な冗長度を持たせる等の条件が必要となる。具体的には、
x p = ( y + B 2 4 ) ( p + 1 ) / 4 − B 2 mod p {\displaystyle x_{p}={\left(y+{\frac {B^{2}}{4}}\right)}^{(p+1)/4}-{\frac {B}{2}}\ {\bmod {\ }}p}