Bellcore-attacken
En enda felaktig RSA-signatur, beräknad med CRT, kan räcka för att angriparen ska räkna ut primtalen i nyckeln.
Attacken beskrevs 1996 av Dan Boneh, Richard DeMillo och Richard Lipton, som då arbetade vid Bellcore, och fick namnet därifrån. RSA-signering med kinesiska restsatsen (CRT) räknar signaturen separat modulo p och q. Om ett fel uppstår i bara den ena halvan, till exempel genom strålning eller en spänningsglitch, blir resultatet fel i den halvan och korrekt i den andra.
Då ger gcd(s'^e − m, N) ett av primtalen, och nyckeln är bruten. Motmedlet är enkelt: verifiera signaturen med den publika nyckeln innan den lämnas ut. Det är en av få attacker där en enda felaktig beräkning räcker, och därför är felhantering i kryptografisk hårdvara en egen disciplin.