Attacco al piccolo sottogruppo
Un attacco a Diffie–Hellman in cui l'attaccante invia una chiave pubblica di ordine piccolo e ricava la chiave privata a pezzi.
Lo descrissero Chae Hoon Lim e Pil Joong Lee nel 1997. Se il gruppo ha sottogruppi di ordine piccolo, cosa che accade a meno che il modulo non sia stato scelto con cura, l'attaccante può inviare un elemento di uno di essi. La risposta della vittima dipende allora solo dalla chiave privata modulo l'ordine di quel sottogruppo, e il resto si trova per tentativi. Raccolti abbastanza ordini piccoli, il teorema cinese del resto ricompone l'intera chiave.
La difesa è la validazione: verificare che i valori ricevuti appartengano al sottogruppo giusto, usare numeri primi sicuri o eliminare il cofattore, come fa Curve25519. Il cugino sulle curve ellittiche è l'invalid curve attack, costruito sulla stessa identica negligenza.