KalmarCTF 2026 RBG+ Writeup — 和で隠された RSA を交互和と多項式 GCD で割る

Mon, 13 Jul 2026 11:00:00 +0900

概要

KalmarCTF 2026 の Crypto 問題「RBG+」（106pts）。RSA と LCG（線形合同法）を組み合わせた問題で、フラグ m が RSA で暗号化され、指数 e が LCG で更新されていく。厄介なのは、出力が「2つの暗号文の和」 として与えられる点だ。2項が足し合わさって個別の m^e mod N に分離できないため、そのままでは RSA の構造が使えない（値は各項 mod N の整数和で、和は N を超えうる。この整数性は後の議論を楽にするが、攻撃の本質は「和で隠されている」ことにある）。

この「和」をどう剥がすかが核心になる。

問題の構造

N = getPrime(371) * getPrime(371) # 約742-bit RSA modulus（371bit素数2つの積、本インスタンスは742bit）
e = getRandomRange(731, N)
print(f"{N, e = }") # N と初期指数 e_0 は出力の1行目で公開される
lcg = lambda s: (s * 3 + 1337) % N

for i in range(13):
 print(pow(m, e, N) + pow(m, e:=lcg(e), N))

つまり N と初期指数 e_0 は公開値（出力の1行目）で、以降 13 行が和 c_i として与えられる。秘密はフラグ m だけだ。

Polynomial-Gcd on 万屋猫Labs

KalmarCTF 2026 RBG+ Writeup — 和で隠された RSA を交互和と多項式 GCD で割る

概要

問題の構造