Attacco a reticoli
Un attacco che usa la riduzione di reticoli per trovare vettori corti, e spesso chiavi private, a partire da informazioni parzialmente trapelate.
Un reticolo è una disposizione regolare di punti in molte dimensioni. Gli attacchi a reticoli costruiscono una matrice i cui vettori corti rivelano valori nascosti, e l'algoritmo LLL di Lenstra, Lenstra e Lovász (1982) trova rapidamente tali vettori. Il metodo non è un grimaldello universale per le chiavi: è una cassetta degli attrezzi che richiede all'attaccante di partire da una qualche forma di fuga di informazioni.
Un esempio classico riguarda il DSA. Se a ogni firma trapelano pochi bit del nonce, Howgrave-Graham e Smart mostrarono nel 2001 che la chiave di firma si può recuperare con un numero sufficiente di firme. La stessa idea è stata applicata a ECDSA con nonce parzialmente noti.
La lezione pratica è che «trapelano solo pochi bit» non è affatto poco. Un nonce con bias, corto o riutilizzato può bastare a rompere una chiave di firma, anche quando ogni singola fuga sembra innocua.