1. 项目概述一次从理论到实战的密码学穿越最近在BUUCTF平台上刷Crypto方向的题目发现一个挺有意思的现象很多看起来花里胡哨的RSA变种题其核心的突破口往往能追溯到一些经典的数论定理比如费马小定理。题目“从费马小定理到RSA解密技巧”这个标题精准地概括了这种学习路径——它不是让你死记硬背攻击脚本而是引导你理解攻击手段背后的数学原理。对于刚接触CTF密码学的新手或者想深入理解RSA而非仅仅调用pycryptodome库的同学来说这种从基础定理推导出攻击技巧的过程是能力提升的关键。我自己的体会是直接搜WPWriteup题解固然快但如果不明白为什么这道题能用费马小定理、那道题要用Coppersmith下次遇到变种依然会懵。这个“项目”本质上是一次聚焦于原理的实战推演。我们将以费马小定理为起点探讨它在RSA的几种经典攻击场景中的应用比如p和q选取不当导致p-1或q-1光滑时的Pollard‘s p-1算法以及在已知明文高位或低位时的攻击思路延伸。目标不是覆盖RSA的所有攻击面而是深挖“费马小定理”这一个点看它如何像一把钥匙打开几扇不同的解密之门。你会发现理解了原理之后那些看似复杂的攻击脚本其核心逻辑往往简洁得令人惊讶。2. 核心原理费马小定理与RSA的基石联系要搞清楚费马小定理如何用于攻击RSA我们必须先回到最基础的地方看看它们是怎么联系在一起的。很多资料一上来就抛公式我们这里试着用构建的角度来理解。2.1 费马小定理说了什么费马小定理是数论中的一个基本定理它的标准表述是如果p是一个质数而整数a不是p的倍数即gcd(a, p) 1那么a^(p-1) ≡ 1 (mod p)。举个例子令p7质数a3不是7的倍数。计算3^(7-1) 3^6 729。729除以7的余数是1因为7*104728。所以3^6 ≡ 1 (mod 7)成立。这个定理的强大之处在于它建立了一个在模质数p下的“循环节”。它意味着对于任意与p互质的a当你计算a的幂次模p时结果会以p-1为周期或它的因子为周期循环。这是很多密码学算法包括RSA的理论根基之一。2.2 RSA算法是如何“组装”起来的RSA的安全性基于大整数分解的困难性。它的组装过程可以看作一个巧妙的构造选择两个大质数随机选择两个足够大的、不同的质数p和q。这是整个大厦的基石。计算模数n p * q。这个n是公开的模数长度比特数就是RSA的密钥长度。计算欧拉函数φ(n) (p-1) * (q-1)。这里欧拉函数φ(n)表示在小于n的正整数中与n互质的数的个数。由于p和q是质数这个公式成立。这个φ(n)是核心秘密必须严格保密。选择公钥指数选择一个整数e满足1 e φ(n)且e与φ(n)互质gcd(e, φ(n)) 1。常见的e有 655370x10001。(n, e)一起构成公钥。计算私钥指数计算d使得e * d ≡ 1 (mod φ(n))。也就是说d是e在模φ(n)下的乘法逆元。(n, d)一起构成私钥。通常我们也用(p, q, d)等形式保存私钥。加密与解密加密对于明文m需要是小于n的整数字符串需要先编码为整数计算密文c ≡ m^e (mod n)。解密用私钥计算m ≡ c^d (mod n)。为什么解密是正确的这里就用到了费马小定理和欧拉定理费马小定理的推广。欧拉定理说如果gcd(a, n) 1那么a^φ(n) ≡ 1 (mod n)。在RSA中解密运算c^d ≡ (m^e)^d ≡ m^(e*d) (mod n)。因为e*d ≡ 1 (mod φ(n))所以存在整数k使得e*d 1 k*φ(n)。于是m^(e*d) ≡ m^(1 k*φ(n)) ≡ m * (m^φ(n))^k (mod n)。 当gcd(m, n) 1时根据欧拉定理m^φ(n) ≡ 1 (mod n)所以上式≡ m * 1^k ≡ m (mod n)解密成功。即使gcd(m, n) ≠ 1即m是p或q的倍数通过中国剩余定理也能证明解密依然成立。可以看到φ(n) (p-1)(q-1)是整个机制能循环起来的关键而它的来源p-1和q-1正是费马小定理中那个指数。2.3 攻击的切入点当基石出现裂缝理解了上面的构造攻击者的思路就清晰了一切试图恢复明文m或私钥d的攻击本质上都是在试图破解n p*q这个乘积或者绕过对φ(n)的知识需求。费马小定理在这里扮演了两个角色它是RSA正确的保证通过欧拉定理。它也可能成为RSA被攻破的线索。当p或q的选取不满足“良好”的性质时与p-1或q-1相关的结构就可能被利用。最常见的裂缝之一就是p-1或q-1是“光滑”的。光滑数Smooth Number是指可以分解为许多小质数乘积的数。如果p-1是光滑的那么根据费马小定理对于任意与p互质的整数aa^(p-1) ≡ 1 (mod p)成立。攻击者可以构造一个数M它是许多小质数幂次的乘积使得p-1能整除M但q-1大概率不能。那么计算gcd(a^M - 1, n)结果就很有可能是p。这就是Pollard‘s p-1 算法的核心思想。它不直接分解n而是利用p-1可能光滑的特性来寻找因子。注意这是一个非常经典的陷阱。在CTF题目中出题人为了降低计算难度方便选手在比赛时间内解出经常会故意生成具有光滑p-1的质数。但在真实的密码学应用中绝对必须使用安全的随机质数生成算法如满足FIPS 186-4的算法确保p-1和q-1都有大质因子以抵御此类攻击。3. 实战技巧解析三类基于费马小定理的攻击场景理论铺垫完毕我们进入实战环节。在BUUCTF等平台的Crypto题目中基于费马小定理思想的攻击主要有以下几种变体。我会结合典型题目思路和Python代码片段进行解析。3.1 场景一经典的Pollard‘s p-1攻击这是最直接的应用。题目特征通常比较明显给出的n可能不大或者暗示p和q的生成有问题。我们的任务就是实现或利用该算法分解n。攻击原理复述选择一个底数a通常为2。预先计算一个光滑边界B并计算M product(prime^E for prime in primes_below(B))。这里E通常取使得prime^E小于B的最大指数或者简单取prime的若干次幂。计算g gcd(a^M - 1, n)。如果1 g n那么g就是n的一个非平凡因子很可能是p或q。如果g n需要减小B或选择不同的a。如果g 1则需要增大B。实战代码与技巧from math import gcd import sympy # 用于获取质数列表和分解 def pollard_p_minus_1(n, B10**6, a2): 尝试使用Pollard‘s p-1算法分解n。 :param n: 待分解的模数 :param B: 光滑边界 :param a: 底数 :return: n的一个因子如果失败则返回None # 计算所有小于B的质数 primes list(sympy.primerange(2, B)) M 1 for prime in primes: # 计算 prime^e使得 prime^e B 但这样可能不够强。 # 更常见的做法是M * prime ** (int(math.log(B, prime))) # 或者简单连续乘直到下一次乘会超过某个界限这里简化处理连续乘 # 一个简单有效的实现对于每个质数乘上它直到达到B次方实际上是指数累加 # 这里采用另一种常见写法M lcm(1,2,3,...,B)但计算量大。 # 我们采用迭代计算 a^M mod n 的方式避免直接计算巨大的M。 pass # 具体实现见下文优化版 # 直接计算 a^M 可能会内存溢出我们需要模幂运算 # 更标准的实现是迭代计算 m a for prime in primes: # 计算 prime^e 这里e取使得prime^e n的较大值简单起见可以取固定值如20 e int(sympy.log(n, prime)) # 这是一个可能的选择但可能过大 # 更稳妥的CTF做法直接让M为所有质数的乘积或到一定次幂如果不行再调整B m pow(m, prime**20, n) # 例如每个质数乘20次方 g gcd(m - 1, n) if 1 g n: return g # 也可以每乘几个质数就检查一次gcd提高效率 # if i % 100 0: # g gcd(m - 1, n) # if 1 g n: # return g # 最终检查一次 g gcd(m - 1, n) return g if 1 g n else None # 优化版更标准的迭代计算避免指数爆炸 def pollard_p_minus_1_iterative(n, B10**6, a2): 迭代计算版本的p-1算法更节省内存 b a for i in range(2, B1): b pow(b, i, n) # 计算 b^i mod n 等价于累积指数 g gcd(b - 1, n) if 1 g n: return g # 可以每隔一定步数检查gcd这里每一步都检查效率较低但简单 # if i % 1000 0: # g gcd(b - 1, n) # if 1 g n: # return g return None # 使用示例 n 0x726f... # 从题目中获取的n factor pollard_p_minus_1_iterative(n, B200000) # B需要根据题目尝试 if factor: p factor q n // p print(fFound p: {p}) print(fFound q: {q}) else: print(Failed to factor with given B.)实操心得边界B的选取这是该算法的关键。B太小p-1的大质因子可能没包含进去导致失败B太大计算量急剧增加。在CTF中通常先尝试较小的B如1e5, 1e6如果不行再逐步增大。有时题目会给出暗示。检查点不必等到最后才计算gcd。在迭代过程中每隔几千或几万次计算一次gcd可以在找到因子时立即中断节省时间。底数a虽然2最常用但如果gcd(a, n) ! 1那么直接得到了一个因子。如果失败可以尝试a3, 5, 7...。库的使用在实际做题时如果环境允许直接使用sage或libnum等库中现成的pollard_pm1函数会更方便。但理解其原理至关重要。3.2 场景二费马小定理在已知明文高位/低位攻击中的运用这类题目不直接分解n而是利用费马小定理的性质来构建方程。常见变种是已知明文m的高位MSB或低位LSB。这里我们探讨一种与费马小定理相关的技巧。假设我们通过某种方式比如padding规则、协议漏洞知道了明文m的一部分。例如我们知道m是一个比特长度为n的比特长的数且它的高k位是已知的m_high。那么我们可以将m表示为m m_high * 2^(n-k) x其中x是未知的低(n-k)位部分且0 x 2^(n-k)。我们知道密文c ≡ m^e (mod n)。将m的表达式代入得到c ≡ (m_high * 2^(n-k) x)^e (mod n)这是一个关于未知数x的模多项式方程。当未知部分x的位数较小即k较大时我们可以使用Coppersmith方法在多项式时间内求解小根。那么费马小定理在哪里在某些更特殊的场景下如果n是质数或者我们在模p或q下考虑并且已知的明文部分与未知部分有特殊关系费马小定理可以用来简化问题或构造攻击。例如考虑一个简化模型假设消息m满足m ≡ a (mod p)且m ≡ b (mod q)其中a和b是已知的小整数。虽然这不是标准的已知高位攻击但它展示了如何利用中国剩余定理CRT和费马小定理的性质。更直接的关联是Coppersmith方法本身的理论基础涉及格基约化LLL算法和多项式在模数下的根而费马小定理保证了在模质数p下多项式f(x) x^(p-1) - 1有p-1个根1到p-1这有时可以用来构造或分析格。实战技巧 对于标准的已知高位攻击我们通常直接使用SageMath的small_roots()方法。Sage内置了强大的Coppersmith实现。# 假设在SageMath环境中运行 n 123456789... # 模数 e 65537 c 234567890... # 密文 # 假设我们知道明文m的高位是 m_high且总比特长为 n.bit_length() k 200 # 已知高位的比特数 m_high 0x1234567890abcdef... # 已知的高位值 P.x PolynomialRing(Zmod(n)) # 构建多项式f(x) (m_high * 2^(unknown_bits) x)^e - c unknown_bits n.bit_length() - k f (m_high * 2^unknown_bits x)^e - c # 寻找小根需要设定根的边界。x是未知的低位其最大值为 2^unknown_bits - 1 bounds (2^unknown_bits, ) # 根的边界 roots f.small_roots(beta0.5, epsilon0.05, Xbounds[0]) # beta, epsilon是调整参数 if roots: x_val roots[0] m m_high * 2^unknown_bits x_val print(fRecovered m: {m}) # 将m转换为字节串 from Crypto.Util.number import long_to_bytes print(long_to_bytes(int(m)))注意Coppersmith方法求解的成功与否和效率高度依赖于未知部分的位数上限X参数。通常未知位数需要小于n的比特长度的1/e左右对于线性多项式但对于更复杂的情况需要更小的界。参数beta和epsilon需要调整beta通常设为0.5或更小epsilon影响格lattice的维度默认0.05左右可以尝试。3.3 场景三基于费马小定理的奇偶性攻击与侧信道思想这是一种更隐晦的应用。费马小定理a^(p-1) ≡ 1 (mod p)意味着在模p下a的幂次循环周期是p-1的因子。这导致了一个有趣的性质对于任意整数a与p互质a^((p-1)/2) ≡ ±1 (mod p)。具体是1还是-1取决于a是否是模p的二次剩余。这个性质本身不直接破解RSA但它可以用于一些选择密文攻击CCA或与侧信道攻击结合。例如在一个简陋的实现中如果服务器能够被诱导对任意密文进行解密或签名并返回结果即使只返回成功/失败或返回错误类型攻击者可能通过发送精心构造的密文并观察结果是否满足某些二次剩余的性质来逐步推断出关于私钥d或模数因子p,q的信息。一个经典的相关攻击是RSA Parity Oracle Attack奇偶性预言攻击。假设存在一个“预言机”Oracle它接收一个密文c用私钥解密得到m然后只告诉你m是奇数还是偶数即m mod 2的值。通过多次查询攻击者可以完整恢复出明文m。其核心数学工具之一就是乘性性质(c * (2^e mod n))^d ≡ (c^d * 2^(e*d)) ≡ m * 2 (mod n)。因为2^e mod n是已知的我们可以构造新的密文。通过查询新密文对应明文的奇偶性即2m mod n是否大于n结合二分查找思想可以确定m的范围。这个过程反复进行每次将不确定区间减半最终精确求出m。费马小定理在这里的作用当我们计算2^e mod n等操作时我们实际上是在利用模幂运算的性质。而保证这些幂运算能正确“循环”并产生可预测效果的正是基于φ(n)的欧拉定理费马小定理的推广。攻击的成功依赖于模运算的同态性质而这个性质的基石就是这些数论定理。简易奇偶性攻击脚本框架from Crypto.Util.number import long_to_bytes, bytes_to_long import math def oracle(c): 模拟一个奇偶性预言机。 在实际题目中你需要将这个函数替换为与题目服务器的交互。 它接收密文c返回解密后明文m的奇偶性True为奇数False为偶数。 # 这里仅作演示假设我们有私钥d和n # 在实际攻击中我们是没有d的 m pow(c, d, n) return m % 2 1 def rsa_parity_attack(n, e, c, oracle_func): 实施RSA奇偶性攻击。 :param n: RSA模数 :param e: 公钥指数 :param c: 待解密的密文 :param oracle_func: 奇偶性预言机函数输入密文返回布尔值明文奇偶性 :return: 恢复的明文m整数 left, right 0, n # 明文m的初始可能区间 [0, n) cipher c multiplier pow(2, e, n) # 构造乘数因子 2^e mod n for i in range(n.bit_length()): # 最多需要n.bit_length()次查询 cipher (cipher * multiplier) % n # 构造新的密文对应明文为 2*m mod n if oracle_func(cipher): # 如果 oracle 返回 True (奇数)说明 2*m mod n 是奇数。 # 因为n是奇数两个大质数的乘积2*m mod n 为奇数意味着 2*m n。 # 所以 m 在区间 [ceil(n/2), right) 内。 left (left right) // 2 # 向上取整的二分 else: # 如果 oracle 返回 False (偶数)说明 2*m mod n 是偶数即 2*m n。 # 所以 m 在区间 [left, ceil(n/2)) 内。 right (left right) // 2 # 打印进度可选 # print(fIteration {i}: interval [{left}, {right})) if left right - 1: # 区间收敛到一个点 break return left # 模拟攻击 # 假设我们不知道的私钥参数 p 104999 q 106853 n p * q phi (p-1)*(q-1) e 65537 d pow(e, -1, phi) # 私钥指数攻击者不知道 # 待解密密文 m_original bytes_to_long(bflag{test}) c pow(m_original, e, n) # 执行攻击 recovered_m rsa_parity_attack(n, e, c, oracle) print(fOriginal m: {m_original}) print(fRecovered m: {recovered_m}) print(fMatch: {m_original recovered_m}) print(fRecovered message: {long_to_bytes(recovered_m)})注意事项这种攻击需要大量交互与n的比特数线性相关在实际网络题目中需要注意超时问题。预言机的实现必须准确任何错误如网络超时、服务器返回非预期结果都可能导致恢复失败。这是选择密文攻击的一种在实际安全的RSA实现中如使用OAEP填充是无法实施的因为填充验证会使得无效密文被拒绝不会泄露奇偶性信息。4. 工具链与实战调试技巧工欲善其事必先利其器。在实战BUUCTF Crypto题目时一套顺手的工具和调试方法能极大提升效率。4.1 核心工具与库Python 核心库gmpy2/mpmath处理大整数运算的利器gmpy2的gcd,powmod,invert等函数速度快且支持大数。pycryptodome/cryptography标准的密码学库常用于加解密、编码转换。Crypto.Util.number中的long_to_bytes,bytes_to_long,getPrime,isPrime等函数使用频率极高。sympy符号计算库用于质数生成、分解factorint、解方程等在尝试各种分解算法时很有用。libnum一个CTF密码学常用辅助库集成了很多常用函数如n2s,s2n,gcd,invmod以及一些攻击脚本如pollard_pm1。SageMathCTF密码学尤其是RSA相关题目的终极神器。它集成了Python语法和强大的数学计算能力。数论运算对大整数的支持极好内置factor()函数尝试分解有时能直接分解CTF中的弱质数。Coppersmith攻击PolynomialRing和small_roots()方法是求解已知高位、低位、部分p等问题的标准解法。格基约化LLL内置Matrix类和LLL()方法用于实现基于格的攻击如Hastad广播攻击、背包密码等。椭圆曲线对ECC题目有完整支持。使用方式可以安装本地Sage或使用 CoCalc 或 SageCell 在线环境。RSA专用工具RsaCtfTool一个功能强大的RSA攻击工具集支持多种攻击方式维纳攻击、低加密指数攻击、共模攻击、Pollard‘s p-1等。在思路不清晰时可以先用它自动尝试常见攻击。openssl命令行工具用于处理PEM格式的密钥、加解密验证。4.2 实战调试与问题排查即使理解了原理编写攻击脚本时也常会遇到各种问题。以下是一些常见坑点和调试技巧问题1Pollard‘s p-1 算法不收敛B值怎么调现象脚本运行很久没结果或者返回None。排查检查n的大小如果n很大如2048位B需要设得非常大可能不现实。这类题目通常n不会太大256-1024位。尝试小B先从B10000开始逐步乘以10B100000,B1000000。在CTF中B很少需要超过10^7。更换底数a尝试a3, 5, 7。检查是否为其他类型题目可能不是p-1光滑而是p1光滑用Williams‘s p1算法或者有其他特殊结构。技巧在迭代计算gcd时每迭代一定次数如10000次就打印当前迭代数和当前的gcd值观察是否有变化趋势。问题2Coppersmith攻击small_roots找不到根。现象small_roots()返回空列表。排查检查多项式构建是否正确确保未知数x的系数和次数正确。特别是已知高位/低位转换时移位操作2^bits是否正确。检查根的上界XX必须大于或等于未知数x可能的绝对值上界。如果x是正数且小于2^k那么X 2^k。如果设小了肯定找不到根。调整beta和epsilon参数beta是期望的因子大小与N的比例上界通常设为0.5寻找小于N^0.5的根或更小。epsilon影响格的维度默认0.05~0.1可以尝试。有时需要微调。# 尝试不同的参数组合 roots f.small_roots(beta0.4, epsilon0.03, XX) roots f.small_roots(beta0.5, epsilon0.08, XX)提升计算精度在Sage中可以尝试将环定义为Zmod(n)但有时需要模一个因子。如果知道p或q在模p下求解可能更容易PolynomialRing(Zmod(p))因为模数变小了。多项式次数过高如果e很大如65537多项式f(x) (known x)^e - c的次数会非常高导致格维度太大计算失败。此时可能需要使用Coppersmith的“How to find small roots of polynomials modulo a composite integer”中的思路或者尝试将多项式模n简化但c是常数简化空间有限。有时需要利用题目的其他条件降低次数。问题3奇偶性攻击恢复的明文是乱码。现象恢复出的整数m转换成的字节串不是可读的flag。排查检查预言机实现这是最常见的问题。确保你的oracle函数与题目服务器的行为完全一致。服务器返回的是“解密后明文的奇偶性”吗还是返回别的比如解密成功/失败仔细阅读题目描述。检查二分查找逻辑确保区间更新逻辑与预言机反馈正确对应。上面的示例代码是标准逻辑。可以先用一个已知的m和模拟预言机进行测试确保算法本身正确。编码问题RSA加密的明文通常是字节串转换成的大整数。恢复出的m可能需要去除padding如PKCS#1 v1.5或OAEP。CTF中常见的是无填充或简单填充如flag{...}开头。尝试long_to_bytes(m)后查看hex输出也许flag就在其中间部分。网络交互问题如果是远程交互考虑网络延迟、超时。可能需要添加重试机制和延时。问题4分解n的脚本跑不出来怀疑算法不对。策略不要死磕。按顺序尝试以下“套餐”在线分解网站对于小于256位的n可以尝试 factordb 或 yafu 的在线接口。这是第一步。RsaCtfTool使用--attack all或指定攻击模式尝试。检查特殊结构费马分解如果p和q非常接近即|p-q|很小可以用费马分解。计算a ceil(sqrt(n))然后检查a^2 - n是否为完全平方数b^2则pab,qa-b。共享素数如果有多个n检查gcd(n1, n2)是否不为1可能共享了一个质因子。小质数直接用sympy.isprime或试除法检查n是否是小质数的倍数虽然概率极低。回顾题目描述和文件名题目名字、描述、附件文件名可能包含提示如“smooth”、“fermat”、“close”等。5. 从解题到出题深入理解攻击的本质作为学习者最高效的巩固方式之一就是尝试自己出题。当你试图构造一个能被特定攻击破解的RSA实例时你会对攻击条件有刻骨铭心的理解。5.1 如何构造一个Pollard‘s p-1可分解的n生成光滑的p-1选择一个光滑边界B比如B10^6。生成一个质数p使得p-1的所有质因子都小于B。这可以通过以下步骤生成一个由许多小质数乘积组成的数M。让p k*M 1并测试p是否为质数k从1开始递增。import sympy from math import prod def generate_smooth_prime(bits, B): 生成一个bits位的质数p使得p-1是B-smooth的近似 small_primes list(sympy.primerange(2, B)) while True: # 生成一个光滑数M略小于目标bits数 M 1 for prime in small_primes: if M * prime 2**(bits//2): # 控制M的大小 M * prime # 尝试 k 使得 p k*M 1 是质数且长度合适 for k in range(1, 10000): p k * M 1 if p.bit_length() bits and sympy.isprime(p): return p, M return None bits 256 B 1000000 p, M generate_smooth_prime(bits//2, B) # 再生成一个正常的质数q q sympy.randprime(2**(bits//2 - 1), 2**(bits//2)) n p * q print(fp {p}) print(fp-1 smooth? Check: all prime factors of {p-1} are less than {B}: {all(factor B for factor in sympy.factorint(p-1).keys())}) print(fn {n}) # 此时用Pollard‘s p-1算法设置Bmax(prime factors of p-1)应该能快速分解n。注意事项这样生成的p在密码学上是不安全的绝不能用于真实场景。但用于CTF教学题目非常合适。5.2 如何构造一个已知高位攻击的题目确定参数选择安全的p,q生成n选择e65537。生成flag假设flag是flag{...}。构造已知部分将flag转换为整数m_full。决定泄露多少高位比特比如泄露高k位。计算m_high m_full (m_full.bit_length() - k)。加密计算密文c pow(m_full, e, n)。给出题目数据通常给出n,e,c,m_high或泄露的高位字节以及k或总比特数。增加难度可以不直接给m_high而是以其他形式给出比如m_high是某个简单函数的结果或者隐藏在一段文本中。出题心得难度控制未知部分的比特数需要精心设计。太短如少于n.bit_length()/e可能用Coppersmith直接秒解太长如只泄露一半可能无法用此方法。通常需要根据e的大小和计算资源来测试。验证解法自己先用Sage写脚本验证题目是否可解确保预期解法能在合理时间内跑通。添加干扰可以额外给一些无关的数据或者将n, e, c以某种格式如PEM、十六进制、base64编码增加一些简单的编码解析步骤。通过自己出题你会被迫思考攻击成立的最小条件是什么哪些参数是关键的如何让题目既有挑战性又不至于无解这个过程能极大地深化你对费马小定理乃至整个RSA攻击体系的理解。最后记住CTF密码学题目是高度简化和特化的模型目的是教学和挑战。真实世界的RSA应用必须遵循严格的标准如PKCS#1使用安全的随机数生成器生成密钥并搭配适当的填充方案如OAEP。但正是在这些“不安全”的特例中我们才得以窥见密码学大厦的基石并真正理解“为什么”要遵循那些安全规范。从费马小定理这个支点出发撬动对RSA的深入理解这才是实战训练的核心价值所在。