Attaque par oracle de partitionnement
Attaque qui fabrique un chiffré valide sous des milliers de clés, de sorte que chaque réponse du serveur divise par deux la liste des mots de passe candidats.
Julia Len, Paul Grubbs et Thomas Ristenpart présentent la technique à USENIX Security 2021. Elle exploite le fait qu'AES-GCM et ChaCha20-Poly1305 ne sont pas à engagement de clé : avec un peu d'algèbre, on peut construire un chiffré unique dont l'étiquette d'authentification est valide sous de nombreuses clés à la fois. Quand ces clés sont dérivées de mots de passe, l'attaquant peut glisser tout un lot d'hypothèses dans un seul message.
Le serveur indique seulement si le déchiffrement a réussi, et cela suffit amplement. Chaque réponse coupe l'ensemble des candidats en deux : la recherche d'un essai par tentative devient une recherche dichotomique. Les chercheurs l'ont démontrée contre le protocole proxy Shadowsocks. La morale est celle des oracles de bourrage : un message d'erreur est aussi un canal de communication.