Были ли когда-либо реальные последствия использования вероятностных тестов простоты для RSA или других подобных систем?

Учитывая огромное количество сертификатов RSA, которые были сгенерированы, не будет ли, вероятно, небольшого количества сертификатов, в которых одно из простых чисел могло быть составным? Было ли это когда-нибудь проблемой в дикой природе?

Я думаю, что RSA с таким p&q не сможет проверить и расшифровать подпись. Так что в этих случаях я не думаю, что инструменты выдадут правильное сообщение об ошибке, и это может привести к серьезной путанице.

И если составное число на самом деле является числом Кармайкла, то я думаю, что RSA будет работать так, как предполагалось, но будет менее безопасным, чем предполагалось.

Я знаю, что при достаточном количестве раундов алгоритма Миллера-Рабина вероятность чего-то подобного очень мала. Но мне просто интересно, произошло ли это и было ли обнаружено

Я думаю, важно смотреть, что здесь «очень мелко»:

В Эта бумага (пример 6), написано, что для RSA$-2048$ что вероятность ложноположительного результата ограничена сверху $\фракция{1}{10^{80}}$.

Я сделал расчет с вольфрам Альфа для меньшего ключа (RSA$-512$):

Он ограничен сверху $2^{-73}$, таким образом, это также кажется незначительным для реального варианта использования.