연구진이 2007년 Joux, Naccache, Thomé가 제안했지만 저평가돼온 알고리즘을 이용해 1024비트 RSA 서명을 특수 수체 체(SNFS)에 가까운 시간에 위조하는 공격을 실제로 구현·실행했다. 이 공격은 RSA 서명/복호화 오라클에 일시적으로 접근할 수 있으면 키를 인수분해하지 않고도 성립하며, 실험에서는 2^32회의 오라클 질의와 총 1380 CPU 코어년(대부분 사전연산)을 투입했고, 사전연산 이후에는 임의의 서명을 오프라인에서 180 코어년 만에 위조할 수 있었다. 연구진은 하드웨어 보안 모듈(HSM)을 서명 오라클로 사용해 키를 유출하지 않고도 블랙박스 API 상호작용만으로 HSM을 가장할 수 있음을 실증했다. 실측 시간을 확장한 결과 RSA의 실질 보안 수준은 인수분해 기반 추정치보다 15~30비트 낮으며, 4096비트 RSA조차 이 공격 모델에서는 128비트 보안 수준에 미치지 못해 포스트양자 전환기에 RSA 자체를 벗어나야 한다는 근거를 제시한다.

• •서명 오라클 접근만으로 인수분해 없이 RSA 서명을 위조하는 2007년 알고리즘을 1024비트 RSA에 실제 구현
• •2^32회 오라클 질의·1380 코어년 사전연산 후 임의 서명 위조는 180 코어년만에 가능
• •HSM을 서명 오라클로 사용해 키 유출 없이 블랙박스 API만으로 가장 성공
• •실질 RSA 보안 수준이 인수분해 기반 추정보다 15~30비트 낮음을 확인
• •4096비트 RSA도 이 공격 모델에서 128비트 보안에 미달, RSA 탈피 필요성 제기