Aufgrund der Homomorphieeigenschaft von RSA ist dieses Signaturverfahren jedoch ungeeignet. Liegen zwei Signaturen ,  vor, so kann ein Angreifer daraus durch Multiplizieren die Signatur der Nachricht  berechnen. Sogar aus nur einer Signatur  kann ein Angreifer beliebig viele Nachrichten-Signatur-Paare erzeugen:  ist ein solches Paar für beliebige .