Chiffretext-Expansion
Der Unterschied zwischen Klartext- und Chiffretextlänge – eine der Größen, die Kryptosysteme stillschweigend wachsen lassen.
Die meisten Verschlüsselungsverfahren machen die Ausgabe länger als die Eingabe. CBC mit PKCS #7 fügt immer mindestens ein Byte Padding hinzu; besteht der Klartext schon aus ganzen Blöcken, wird es ein kompletter zusätzlicher Block. Auch der IV muss mit der Nachricht reisen. Ein AEAD-Modus wie AES-GCM hängt einen Authentifizierungs-Tag an, normalerweise 16 Byte.
Das ist nicht bloß Buchhaltung. Arbeitet ein Protokoll mit Paketen fester Größe, kann der Overhead eine Nachricht in ein größeres Paket drücken, und ein Beobachter erfährt womöglich etwas aus der Länge. Das ist mit ein Grund, warum TLS die Kompression vor der Verschlüsselung aufgegeben hat: Angriffe wie CRIME zeigten, dass komprimierte Längen Geheimnisse im selben Datenstrom verraten können.