Ataque de broadcast de Håstad
Ataque ao RSA em que a mesma mensagem é cifrada com um expoente público pequeno para vários destinatários e pode ser recuperada com o teorema chinês do resto.
Envie a mesma mensagem m para três destinatários com expoente e = 3 e módulos diferentes, e um atacante que intercepte os três textos cifrados pode combiná-los com o teorema chinês do resto. O resultado é m^3 sem nenhuma redução modular, e como m^3 é menor que o produto dos módulos, uma simples raiz cúbica inteira devolve m. Johan Håstad publicou o resultado geral no fim da década de 1980.
A correção é um preenchimento randomizado como o OAEP, para que a mesma mensagem nunca produza o mesmo texto cifrado duas vezes. Quem usa RSA puro com expoentes pequenos trocou segurança por simplicidade, o que raramente é um bom negócio.