Ataque de Manger
Un ataque de 2001 que demuestra que un solo bit filtrado por los mensajes de error basta para descifrar criptogramas RSA-OAEP.
James Manger presentó el ataque en CRYPTO 2001. Se basa en que una implementación revela si un criptograma modificado era inválido, lo que la convierte en un oráculo adaptativo de criptogramas elegidos. Con ese oráculo, el atacante envía miles de variantes y reconstruye poco a poco el texto en claro, aunque OAEP se diseñó precisamente para impedirlo.
La lección fue que la prueba de seguridad de OAEP no cubre los detalles de implementación. Un mensaje de error que distingue fallos de formato de otros fallos es un oráculo, y la respuesta correcta es un error uniforme, sea cual sea el problema. El ataque pertenece a la misma familia que el de Bleichenbacher contra PKCS#1 v1.5.