작은 RSA 공개 지수와 패딩 없는 동일 메시지를 여러 공개키로 암호화할 때 위험한 공격은?

정답 4번

같은 평문 m을 작은 공개 지수 e로 서로소인 여러 모듈러에 패딩 없이 암호화하면 공격자는 암호문들을 중국인의 나머지 정리로 결합해 정수 m^e를 얻을 수 있다. 값이 모듈러 곱보다 작으면 e제곱근을 구해 m을 복원하는 것이 broadcast attack이다. RSA는 OAEP 같은 무작위 패딩을 사용해야 동일 평문이 같은 구조로 반복되지 않는다.