Investigan cómo falsificar firmas RSA de 1024 bits sin factorizar la clave
Forging 1024-bit RSA signatures in nearly SNFS time [pdf]
Un equipo de la UC San Diego e Inria implementa un ataque de 2007 de Joux, Naccache y Thomé que permite falsificar firmas RSA de 1024 bits tras acceder temporalmente a un oráculo de firma, sin factorizar el módulo. El ataque tomó 1380 años-CPU durante cinco meses y 2^32 consultas, y tras una precomputación de 1200 años-CPU, cada falsificación offline cuesta 180 años-CPU. Los autores advierten que la seguridad práctica de RSA con oráculo de firma es 15 a 30 bits menor que las estimaciones basadas en factorización, y que ni siquiera RSA de 4096 bits alcanza 128 bits de seguridad en este modelo.
Incluso RSA de 4096 bits no parece alcanzar un nivel de seguridad de 128 bits en este modelo de ataque.