#resultant

NIST P-256 위의 랜덤 점 P와 그 두 배점 2P를 10쌍 뽑아, 두 점의 x 좌표만 key1·key2에 대한 1차식으로 흘린다. 점도 y 좌표도 공개되지 않지만 y가 제곱으로만 등장하는 덕분에 두 x 좌표는 하나의 유리함수로 묶인다. key2를 소거해 7차 다항식을 세우고 GF(p) 근을 전부 구한 뒤, 남은 여덟 쌍으로 가짜 후보 둘을 걸러냈다.

flag 를 f·l·ag 세 조각으로 쪼개 각각·전체를 e=257 RSA 로 암호화한 문제. Franklin–Reiter 와 Gröbner 가 막히는 지점을 짚고, ℤ/N 위에서 monic 없이 변수를 소거하는 의사 나눗셈으로 비율 f/ag, l/ag 를 뽑은 뒤 LLL 로 평문을 복원한다.