> Про тайминг атаки на RSA я что то не слышал.

Тут даже слышать не нужно. Надо просто понимать алгоритм, что такое timing атаки и как работает CPU (включая MMU), чтобы понять, что это возможно. А нашли ли реальные способы атаковать или нет -- это даже не особо важно. Да, можно искать способы защищаться, но это всё лишь временная помощь, пока алгоритм не будет переработан так, чтобы устранить все источники утечек, что возвращает нас к факту, что:

DJB же by design делал алгоритмы, которые выполняют одни и те же инструкции по одним и тем же адресам с одной и той же скоростью (без branching-а и других источников утечек ключа). RSA же хорош лишь тем, что он проверен временем (и позволяет шифровать, но это нафиг не нужно), а остальном одни недостатки в сравнении с современными алгоритмами.