มีจุดอ่อนอย่างมากในผลิตภัณฑ์ 1024 บิตที่สร้างขึ้นตาม
วิธีการที่อธิบายไว้ หากคุณใช้ F. ซ้ำ
ถ้า N1 และ N2 ถูกสร้างขึ้นด้วย F เดียวกัน สามารถคำนวณ F ได้
โดยทันที:
G = gcd(N1-1,N2-1) = 2Fk.
ปัจจัย G เพื่อให้ได้ F ซึ่งสังเกตได้ง่ายเพราะมีความยาว 461 บิต
นอกจากนี้ ความปลอดภัยอาจลดลงอย่างมากหาก
ความยากของการแยกตัวประกอบ N-1 นั้นง่ายกว่าการแยกตัวประกอบ N อย่างมาก
N-1 เป็นองค์ประกอบที่สามารถแยกตัวประกอบได้ง่ายกว่ามาก
ผลิตภัณฑ์ 1024 บิตของจำนวนเฉพาะ 512 บิตสองตัว
ตามคำจำกัดความและข้อจำกัดของ F, p และ q ในคำถาม:
N = (2Fp+1)(2Fq+1)
กำลังขยาย
N = 4*F^2pq+2Fp+2Fq+1
จัดเรียงใหม่
N = 2F(2Fpq+p+q)+1
N-1 = 2F(2Fpq+p+q)
หลังจากแยกตัวประกอบ N-1 คุณจะได้ F ประมาณ ไพรม์ 461 บิต
ให้คุณเป็น (N-1)/2F = (2Fpq+p+q)
คุณ = (2Fpq+p+q)
จากนั้นคำนวณ s = mod(u,2F) = p+q
q = เอสพี
แทนค่า s-p สำหรับ q และ s สำหรับ p+q
คุณ = (2Fp(s-p)+s)
คุณ = 2Fps-2Fp^2+s
ซึ่งส่งผลให้กำลังสองในหน้า
-2Fp^2+2Fsp+s-u = 0
p = (Fs - sqrt(F(Fs^2 + 2s - 2u)))/(2F)
q = เอสพี
ตอนนี้สามารถคำนวณจำนวนเฉพาะ 512 บิตประมาณ 2 บิตได้แล้ว
N = (2Fp+1)(2Fq+1)
โปรดทราบว่าแฟคเตอริง N-1 อาจยังต้องใช้เวลาพอสมควร
ต้องการ GNFS หรือ CADO-NFS แต่ก็ยังง่ายกว่ามากในการแยกตัวประกอบ
มากกว่าผลิตภัณฑ์ 1024 บิตของจำนวนเฉพาะ 512 บิตสองตัว