Une paire de clés se compose d’un module n = p·q de 2048 à 4096 bits, d’un exposant public e (presque toujours 65 537) et d’un exposant privé d = e⁻¹ mod lcm(p − 1, q − 1). Les clés privées contiennent généralement aussi p, q et les valeurs CRT dP, dQ et qInv, qui rendent la signature environ quatre fois plus rapide (la structure RSAPrivateKey de PKCS #1, RFC 8017 annexe A.1.2). Signer consiste à élever un message encodé à la puissance d modulo n ; vérifier, à élever la signature à la puissance e et à comparer le résultat avec l’encodage attendu.
Le RSA brut étant malléable et falsifiable, un schéma de remplissage fait toujours partie de l’algorithme : RSASSA-PKCS1-v1_5 (déterministe, JOSE RS256) ou RSASSA-PSS (probabiliste, PS256) pour les signatures, et RSAES-OAEP pour le chiffrement. L’ancien remplissage de chiffrement PKCS #1 v1.5 a rendu possibles les attaques par oracle de remplissage de Bleichenbacher ; TLS 1.3 a entièrement supprimé le transport de clé RSA. La FIPS 186-5 §5.4 exige exactement deux nombres premiers et un exposant public impair compris entre 2¹⁶ et 2²⁵⁶.
Une signature est aussi longue que le module : 256 octets pour RSA-2048, 384 pour RSA-3072, 512 pour RSA-4096. La SP 800-57 (partie 1) évalue 2048 bits à une sécurité de 112 bits et 3072 bits à 128 bits. La vérification est peu coûteuse, la signature ne l’est pas : sur un cœur d’Apple M4 Max avec OpenSSL 3.6.5, RSA-2048 signe environ 3000 messages et en vérifie environ 114 000 par seconde, et la génération d’une clé de 2048 bits prend en moyenne environ 26 ms, avec une forte variance.
Le NIST IR 8547 (projet public initial) propose de déprécier le RSA à 112 bits de sécurité (2048 bits) après 2030 et d’interdire tout RSA après 2035. Consultez ECDSA vs RSA pour la comparaison avec les courbes elliptiques.