Since Marvin is given the n=4 least

Since Marvin is given the n=4 least signicant bits of d, he knows the value of ed mod 2n=4. Con-
sequently, he obtains an equation in k and p. For each of the e possible values of k, Marvin solves
the quadratic equation in p and obtains a number of candidate values for p mod 2n=4. For each
of these candidate values, he runs the algorithm of Theorem 10 to attempt to factor N. One can
show that the total number of candidate values for p mod 2n=4 is at most e log2 e. Hence after at
most e log2 e attempts, N will be factored.
Theorem 9 is known as a partial key-exposure attack. Similar attacks exist for larger values of
e as long as e < pN. However the techniques are a bit more complex [5]. It is interesting that
discrete log-based cryptosystems, such as the ElGamal public key system, do not seem susceptible
to partial key exposure. Indeed, if gx mod p and a constant fraction of the bits of x are given, there
is no known polynomial-time algorithm to compute the rest of x.
To conclude the section we show that when the encryption exponent e is small, the RSA system
leaks half the most signicant bits of the corresponding private key d. To see this, consider once
again the equation ed

Kết quả (Việt) 1:

Kể từ khi Marvin cho n = 4 ít nhất signi cant bit của d, ông biết giá trị của ed mod 2n = 4. Con-
sequently, ông lấy được một phương trình trong k và p. Đối với mỗi giá trị có thể e của k, Marvin giải quyết
phương trình bậc hai trong p và có được một số ứng cử viên giá trị cho p mod 2n = 4. Cho mỗi
của các giá trị ứng cử viên, ông chạy các thuật toán của định lý 10 để cố gắng yếu tố N. Nó có thể
thấy rằng tổng số các giá trị ứng cử viên cho p mod 2n = 4 là tối đa e log2 e. do đó sau khi tại
hầu hết e log2 nỗ lực e, N sẽ được yếu tố xác.
định lý 9 được gọi là một cuộc tấn công tiếp xúc chính một phần. Cuộc tấn công tương tự tồn tại cho các giá trị lớn hơn của
e miễn là e < pN. Tuy nhiên, các kỹ thuật là một chút phức tạp hơn [5]. It's thú vị mà
rời rạc dựa trên đăng nhập cryptosystems, chẳng hạn như hệ thống quan trọng công cộng ElGamal, không có vẻ dễ bị
để tiếp xúc với một phần quan trọng. Thật vậy, nếu gx mod p và một phân số liên tục của các bit của x được cho, có
là không có thuật toán thời gian đa thức được biết đến để tính toán phần còn lại của x.
để kết luận phần chúng tôi thấy rằng khi mã hóa số mũ e là nhỏ, Hệ thống RSA
rò rỉ nửa hầu hết signi cant bit của d chính riêng tương ứng. Để thấy điều này, hãy xem xét một lần
một lần nữa phương trình ed