Partitioning-Oracle-Angriff
Ein Angriff, der einen einzigen Chiffretext erzeugt, der unter Tausenden von Schlüsseln gültig ist, sodass jede Serverantwort die Liste der Passwortkandidaten halbiert.
Julia Len, Paul Grubbs und Thomas Ristenpart stellten die Technik auf der USENIX Security 2021 vor. Sie nutzt aus, dass AES-GCM und ChaCha20-Poly1305 nicht schlüsselbindend (key-committing) sind: Mit etwas Algebra lässt sich ein einzelner Chiffretext bauen, dessen Authentifizierungstag unter vielen Schlüsseln gleichzeitig stimmt. Werden diese Schlüssel aus Passwörtern abgeleitet, kann der Angreifer einen großen Stapel Passwortversuche in eine Nachricht packen.
Der Server verrät nur, ob die Entschlüsselung geklappt hat, und das genügt völlig. Jede Antwort teilt die Kandidatenmenge in zwei Hälften, und aus einer Suche mit einem Versuch pro Anfrage wird eine binäre Suche. Die Forscher demonstrierten es am Proxy-Protokoll Shadowsocks. Die Moral ist dieselbe wie bei den Padding-Oracles: Auch eine Fehlermeldung ist ein Kommunikationskanal.