En 1998, un informaticien réussit à fabriquer de fausses cartes de paiement : Serge Humpich "passe" les deux premiers systèmes de sécurité. Il a créé des "yes card", des cartes qui fonctionnent quelque soit le code secret tapé. D'autre part, il réussit à contourner l'étape de l'authentification hors-ligne RSA.
En effet, la sécurité du système RSA repose sur la difficulté à factoriser un "grand" entier. Or, en 1998, le N utilisé par le RSA a pour taille 320 bits. A cette époque, factoriser un tel entier n'est pas impossible. Humpich, en utilisant un logiciel japonais, réussit à découvrir la clé secrète S.
A l'attaque du RSA
D'ailleurs, les attaques actuelles du RSA se font essentiellement en factorisant l'entier N de la clé publique. La sécurité du RSA repose donc sur la difficulté de factoriser de grands entiers. De très grands entiers même : en 1999, un entier de 155 chiffres (soit une clé de 512 bits, 2 exp 512 étant proche de 10 exp 155) a été factorisé. Si l'on admet que la puissance des ordinateurs double tous les 18 mois, une clé de 2048 bits devrait tenir jusque en 2079.
Cela dit, les algorithmes de factorisation pourraient aussi être améliorés avant. De plus, il a été défini, en théorie, un modèle d'ordinateur quantique qui, s'il était réalisé, permettrait de factoriser très rapidement des entiers.
Bref, le système RSA est sûr, pour l'instant, et à condition que la clé publique soit longue. Il faut donc, pour garantir une certaine sécurité, choisir des clés d'au moins 768 bits pour un usage privé, et 1024, voire 2048 bits, pour un usage sensible. Depuis 1999, N est désormais long de 768 bits pour les clés des cartes bancaires.
L'attaque du milieu
Autre précaution : il faut être certain d'employer la clé publique du correspondant choisi. Une interception, nommée " attaque du milieu ", de la clé publique d'Alice avant qu'elle ait été acheminée à Bob rendrait le système obsolète. En effet, un espion peut remplacer la clé publique d'Alice par la sienne, puis récupérer le message que Bob croit avoir codé avec la clé publique d'Alice. Pour éviter cela, des tiers de confiance peuvent garantir l'authenticité des clés.
