Salamandres invisibles
Une attaque où un même chiffré AES-GCM se déchiffre en deux images différentes selon la clé, et qui a berné le système de signalement d'abus de Facebook Messenger.
Yevgeniy Dodis, Paul Grubbs, Thomas Ristenpart et Joy Woodage l'ont présentée à CRYPTO 2018. Messenger permettait de signaler des pièces jointes chiffrées, et un signalement devait prouver ce que l'expéditeur avait réellement envoyé. Or AES-GCM ne s'engage pas sur la clé : avec un peu d'algèbre, on fabrique un chiffré dont l'étiquette d'authentification est valide sous deux clés différentes. Le destinataire voit un contenu abusif, tandis que le modérateur, qui déchiffre avec l'autre clé, tombe sur une salamandre inoffensive.
Facebook a corrigé la faille et versé une prime. La leçon a survécu à l'application : un AEAD promet confidentialité et intégrité, pas qu'un chiffré n'ait qu'une seule lecture valide. L'engagement de clé est devenu une exigence de conception à part entière, et la même faiblesse est revenue en 2021 sous la forme de l'attaque par oracle de partitionnement.