Attaque de Bleichenbacher
L'attaque de Daniel Bleichenbacher (1998) qui déchiffrait des messages RSA en demandant simplement à un serveur si le bourrage était valide.
À CRYPTO 1998, Bleichenbacher montre que des messages RSA bourrés selon PKCS#1 v1.5 peuvent être cassés par quiconque est capable d'envoyer des chiffrés à un serveur et d'observer s'il les accepte. Ce oui ou non fait office d'oracle de bourrage. En resserrant peu à peu l'intervalle où se cache le clair, l'attaquant s'en tire avec environ un million de requêtes — une misère pour un serveur qui répond à des poignées de main toute la journée.
Le remède n'a pas été un nouvel algorithme, mais la fin de la fuite. PKCS#1 v2 a introduit OAEP, et TLS a pris l'habitude de faire comme si la poignée de main avait réussi, avec un secret prémaître aléatoire, quand le bourrage était faux. Ce qui n'a pas empêché ROBOT (2018) de prouver que le bogue revient sous de nouvelles formes dès qu'une implémentation traite les erreurs différemment selon leur nature.