由Rivest、Shamir、Adleman於1977年提出的公開金鑰加密。以兩個大質數 p、q 的乘積 n 與公開指數 e 為公開金鑰，以滿足 e × d ≡ 1 (mod (p − 1)(q − 1)) 的 d 為私密金鑰。加密為 c = m^e mod n，解密為 m = c^d mod n。安全性的根據在於 n 的質因數分解很困難，可同時用於加密與簽章。實際上要與OAEP或PSS這類含亂數的填充搭配使用。
日文名稱: RSA暗号
「RSA加密」出現在2領域的10道練習題中（密碼學基礎與應用, 量子電腦硬體等）。
這個名詞所屬的領域: 密碼學基礎與應用
若 p = 5、q = 11，則 n = 55，(p − 1)(q − 1) = 40。設 e = 3，因為 3 × 27 = 81 ≡ 1 (mod 40)，所以 d = 27。明文 m = 7 加密為 7³ = 343 ≡ 13 (mod 55)，計算 13^27 mod 55 就會還原為7。
在NIST SP 800-57的表中，2048位元的 n 相當於112位元、3072位元相當於128位元安全性的參考值。以相同安全性比較，需要比橢圓曲線密碼長得多的金鑰與簽章，金鑰產生與簽章的計算也較重。公開指數常用計算較快的65537（2^16 + 1）。
過去的TLS廣泛使用由用戶端把金鑰材料以伺服器的RSA公開金鑰加密後傳送的金鑰交換，但因為沒有前向保密，在TLS 1.3中已被廢除。目前RSA主要用於憑證與軟體的簽章。一旦大規模量子電腦實現，就會被Shor演算法破解，因此正在推動遷移到後量子密碼學。
正確答案：B. 27
n = 5 × 11 = 55，φ(n) = 4 × 10 = 40。尋找使 3 × d 除以40餘1的 d，因為 3 × 27 = 81 = 2 × 40 + 1，所以 d = 27。公開金鑰為 (n, e) = (55, 3)，私密金鑰為 d = 27；不知道 p 與 q 就無法得知 φ(n)，也就求不出 d，這就是安全性的根據。實際的RSA加密中，p 與 q 各是超過1000位元的大質數，e 常使用65537。
正確答案：A. 13
7³ = 343，而 343 = 6 × 55 + 13，因此 c = 13。對應此公開金鑰的私密指數為 d = 27（p = 5、q = 11、φ(n) = 40，3 × 27 ≡ 1），計算 13^27 mod 55 就會還原成原本的明文7。加密只需要公開金鑰，但解密需要 d。
因為知道 p 與 q 就能計算 (p − 1)(q − 1)，再由公開的 e 求出 d。n 是公開的，所以安全性依賴於對 n 做質因數分解的困難度。
因為RSA一次只能加密小於 n 的數，計算也比對稱式加密重得多。實際上是以AES等對稱式加密來加密檔案，只用公開金鑰保護那把對稱金鑰，這稱為混合加密方式。
實際的RSA加密中，p 與 q 各是超過1000位元的大質數，e 常使用65537。
以小數字確認RSA加密的機制。由質數 p = 5、q = 11 作出 n = pq，公開指數設為 e = 3。令 φ(…教科書式的RSA加密是不使用亂數的確定性方式，因此像「是」「否」這種候選很少的明文，攻擊者只要把所有候選以公開金鑰加密並與密文比對就能得知。
把教科書式的RSA加密（直接以 c = m^e mod n 處理明文 m 的方式）不加填充地用於實際通訊，其問題點正確…在NIST SP 800-57 Part 1的表中，128位元安全性的參考值為RSA 3072位元、橢圓曲線密碼256～383位元。
在NIST SP 800-57的表中，被視為與128位元對稱式加密（AES-128）同等安全性之參考值的RSA金鑰長度…RSA 的安全性建立在大數質因數分解的困難度上，橢圓曲線密碼則建立在離散對數問題的困難度上。
大規模容錯量子電腦實現時，一般認為安全性會因 Shor 演算法而大幅受損的密碼是下列何者？其中許多方式的金鑰或簽章比 RSA 或橢圓曲線密碼大，因此要一面考量對通訊協定、嵌入式設備與硬體實作的影響，一面進行遷移。
關於後量子密碼（PQC），下列敘述何者正確？TLS 取餘運算 公開金鑰加密 橢圓曲線密碼學 迪菲-赫爾曼金鑰交換 對稱式加密 Shor 演算法 AES（進階加密標準） 後量子密碼 雜湊函數