RSA: ¿Es seguro ir sin relleno si la longitud del mensaje == longitud de la clave?

Cuando cifras un mensaje usando RSA, se necesita relleno para asegurar varias propiedades:

1. Cifrar el mismo mensaje dos veces debe generar resultados diferentes, para evitar un ataque de texto simple elegido. Esta es la razón por la que los rellenos son aleatorios.
2. RSA conserva algo de estructura, el relleno debe eliminar esa estructura.

3. Cuando un atacante manipula el texto cifrado, debes rechazar esa falsificación de una manera que evite que el atacante se entere de nada.

   Muchos rellenos antiguos, como PKCS # 1v1.5 no aseguran esto, y por lo tanto están rotos para muchas aplicaciones. Deberías usar el relleno OAEP.

Alternativamente, puedes cifrar un número aleatorio del mismo tamaño que el módulo con RSA y usar su hash como clave para el cifrado simétrico (por ejemplo, AES-GCM). Esto se conoce como RSA-KEM y no necesita ningún tipo de relleno. Produce textos cifrados más grandes pero es más fácil de implementar.

Como CodesInChaos mencionó, el relleno destruye la propiedad homomórfica de RSA, que recibe dos mensajes (incluso muy largos) m1, m2 y sus correspondientes textos cifrados c1, c2, luego puede falsificar un tercer texto cifrado válido c '= c1 * c2.

Sin relleno u otras precauciones, el receptor no puede decir si pretendía enviar m1, m2 o m1 * m2.