ベルコア攻撃
CRTで計算されたRSA署名がたった1つ誤っているだけで、攻撃者は鍵の素因数を復元できることがある。
この攻撃は1996年、ベルコアのダン・ボネー、リチャード・デミロ、リチャード・リプトンが発表し、会社名が攻撃名になった。中国剰余定理（CRT）を使うRSA署名では、署名をpを法とする計算とqを法とする計算に分けて行う。放射線や電圧グリッチで片方だけに誤りが生じると、その半分は間違い、もう半分は正しいままになる。
すると gcd(s'^e − m, N) が素因数の1つを与え、鍵は破られる。対策は単純で、署名を出力する前に公開鍵で検証することだ。たった1回の誤計算で足りる数少ない攻撃であり、暗号ハードウェアにおける故障の扱いが独立した専門分野になっているのはそのためである。