Byte-für-Byte-ECB-Entschlüsselung
Ein Angriff, der einen versteckten String aus einem ECB-verschlüsselnden Dienst Byte für Byte rekonstruiert, indem er kontrolliert, was in jedem Block landet.
Man stelle sich einen Dienst vor, der die Eingabe zusammen mit einem geheimen String mit AES im ECB-Modus verschlüsselt. Der Angreifer schickt kurze Eingaben, die das Geheimnis so verschieben, dass genau ein unbekanntes Byte am Ende eines Blocks steht. Der zugehörige Chiffretextblock wird dann mit einer Tabelle aller 256 möglichen Werte für diese Stelle verglichen, und das Byte ist identifiziert. Das wiederholt man, bis das ganze Geheimnis ausgelesen ist.
Der Trick beruht darauf, dass ECB deterministisch ist: Gleiche Klartextblöcke ergeben gleiche Chiffretextblöcke. Er wurde zum Standardrepertoire der Cryptopals-Aufgaben und ist weiterhin das beste Argument, ECB für nichts anderes zu verwenden, als zu demonstrieren, warum ECB eine schlechte Idee ist. Ein authentifizierter Modus wie AES-GCM liefert dem Angreifer nichts zum Vergleichen, denn jede Nonce erzeugt einen neuen Chiffretext.