#merkle-hellman

Merkle–Hellman 배낭 암호로 flag 비트를 subset-sum 해 둔 문제다. 공개키의 밀도가 d ≈ 0.726 으로 낮아, 개인키(초증가 수열·곱수·모듈러스)를 복구하지 않고도 CJLOSS 격자를 LLL 로 줄여 "가장 짧은 0/1 조합"을 집어내면 평문 비트가 그대로 떨어진다. 밀도 계산부터 격자 구성, 복원 비트의 독립 검증까지 손으로 따라가며 푼다.