ウィーナー攻撃

1990年、Michael Wienerは、秘密指数dが法Nの4乗根のおよそ3分の1より小さいと、RSAが破れることを示した。公開鍵からe/Nを連分数展開すればdが復元できる。秘密を推測する必要はなく、現実的な鍵長でも計算はミリ秒で終わる。

教訓は、小さなdは効率のよい鍵に見えるが、実は罠だということだ。標準的なパラメータではeもdも大きく取るため、今ではほぼ教科書の演習問題になっている。名前が数学者でサイバネティクスの創始者であるNorbert Wienerと混同されることがあるが、無関係である。