Исследователи подделали 1024-битные RSA-подписи, не факторизуя ключ
Forging 1024-bit RSA signatures in nearly SNFS time [pdf]
Используя алгоритм Жу, Накаша и Томе 2007 года, исследователи реализовали атаку на 1024-битный RSA: после временного доступа к оракулу подписи они подделывают любую подпись офлайн. Атака заняла 1380 ядер-лет и 2^32 запросов к HSM. Экстраполяция показывает, что стойкость RSA с оракулом на 15–30 бит ниже оценок на основе факторизации; даже 4096-битный RSA не обеспечивает 128-битную стойкость.
Даже 4096-битный RSA, по-видимому, не обеспечивает 128-битного уровня безопасности в этой модели атаки.