暗号文窃取
パディングを使わないブロックモード。最後の平文ブロックを埋めるために、暗号文ブロックの一部を借りる。
CBC や ECB は通常、平文がブロック長の整数倍であることを要求し、その解決策がパディングだった。暗号文窃取では最後の2ブロックを入れ替え、足りない部分を直前の暗号文ブロックのビットで埋める。結果は平文とちょうど同じ長さになる。
NIST はこの手法を SP 800-38A の補遺として記述した。ディスク暗号化の XTS-AES も同じ発想を使っており、長さが変わらないことが重要な場面に向いている。