ブライヘンバッハー攻撃

CRYPTO 1998でブライヘンバッハーは、PKCS#1 v1.5でパディングされたRSAメッセージが、サーバーに暗号文を送り受理されるかを観察できる者なら誰でも破れることを示した。この「はい/いいえ」の応答がパディングオラクルとして働く。平文の範囲を少しずつ絞り込むのに必要なクエリは約100万回で、一日中ハンドシェイクに応答しているサーバーにとってはたいした数ではなかった。

対策は新しいアルゴリズムではなく、漏洩を止めることだった。PKCS#1 v2でOAEPが導入され、TLSはパディングが誤っていてもランダムなプレマスターシークレットを使ってハンドシェイクが成功したかのように振る舞う方式に移った。それでも2018年のROBOTは、実装がエラーの種類ごとに処理を変えれば、このバグが形を変えて戻ってくることを示した。