Lucky Thirteen
Un ataque de temporización de 2013 que aprovecha cómo TLS calcula el MAC sobre registros CBC rellenos, de modo que pequeñas diferencias de tiempo filtran datos.
Nadhem AlFardan y Kenneth Paterson demostraron en 2013 que TLS con cifrados CBC en el orden MAC-then-encrypt filtraba información a través del tiempo. El receptor calcula HMAC sobre un número de bloques que depende de la longitud del relleno, y esa diferencia se nota en el tiempo de respuesta. Con millones de conexiones, un atacante podía recuperar fragmentos del texto en claro, como una cookie, aunque la criptografía en sí estuviera bien.
Es uno de tantos casos en los que el algoritmo aguanta y la implementación se filtra. Los remedios fueron calcular HMAC sobre el mismo número de bloques sin importar el relleno y, sobre todo, pasar a AEAD. TLS 1.3 eliminó los cifrados CBC por completo, así que el problema es hoy sobre todo un lastre de versiones antiguas.