Lucky Thirteen
Une attaque temporelle de 2013 qui exploite la façon dont TLS calcule le MAC sur des enregistrements CBC bourrés : de minuscules écarts de durée suffisent à faire fuiter des données.
Nadhem AlFardan et Kenneth Paterson montrent en 2013 que TLS avec des chiffrements CBC, dans l'ordre MAC-puis-chiffrement, laisse filtrer de l'information par le temps de réponse. Le récepteur calcule un HMAC sur un nombre de blocs qui dépend de la longueur du bourrage, et la différence se lit dans la latence. Avec des millions de connexions, un attaquant peut reconstituer de petits fragments du clair, un cookie par exemple, alors que la cryptographie elle-même est irréprochable.
C'est un cas d'école : l'algorithme tient, l'implémentation fuit. Les parades consistent à calculer le HMAC sur le même nombre de blocs quel que soit le bourrage et, surtout, à passer à l'AEAD. TLS 1.3 a purement et simplement abandonné les chiffrements CBC ; le problème est donc surtout un héritage des anciennes versions.