RSA

Ривест, Шамир и Адлеман опубликовали её в MIT в 1977 году, через год после того, как Диффи и Хеллман показали, что асимметричное шифрование возможно, но не показали, как его сделать. Ключи строятся из двух секретных простых чисел p и q; открытый ключ содержит их произведение n = pq. Умножать тривиально, а восстановить p и q по n быстро никто не умеет. Клиффорд Кокс из GCHQ нашёл по сути ту же схему ещё в 1973 году, но она оставалась засекреченной до 1997-го.

RSA уходит со сцены. Чтобы сравняться с 256-битной эллиптической кривой, нужны ключи в 2048 или 3072 бита, подпись медленная, а наивные реализации текут через ошибки дополнения — атака Блейхенбахера 1998 года всплывает в новых продуктах до сих пор. TLS 1.3 вовсе отказался от обмена ключами через RSA и оставил алгоритм лишь для подписей. Рабочий квантовый компьютер ломает его напрямую алгоритмом Шора — в этом и вся мотивация постквантовой криптографии.