Ataque Bellcore
Uma única assinatura RSA errada, calculada com CRT, pode bastar para o atacante recuperar os primos por trás da chave.
O ataque foi descrito em 1996 por Dan Boneh, Richard DeMillo e Richard Lipton, todos da Bellcore, que deu nome à técnica. A assinatura RSA com o teorema chinês do resto (CRT) calcula o resultado separadamente módulo p e módulo q. Se uma falha atinge só uma das metades, por radiação ou por uma oscilação de tensão, essa metade sai errada e a outra continua correta.
Daí, gcd(s'^e − m, N) entrega um dos primos, e a chave está quebrada. A contramedida é simples: verificar a assinatura com a chave pública antes de liberá-la. É um dos poucos ataques em que um único cálculo errado basta, e por isso o tratamento de falhas em hardware criptográfico virou uma disciplina à parte.