誤り伝播

CBCでは、暗号文のビットが反転すると、そのブロックが丸ごと壊れ、次の平文ブロックの同じビットが反転する。被害は1ブロック先に広がって止まる。改ざんはCBCの偶然の副作用ではなく、ビット反転攻撃がまさに利用する性質だ。

OFBには誤り伝播がまったくない。キーストリームが暗号文に依存しないからで、1ビットの反転は1ビットの反転で済む。CFBはその中間で、該当ビットは自分のブロック内で反転し、次のブロックは完全に壊れ、その後は復号が自力で同期を取り戻す。つまり、雑音の多い通信路向けにモードを選ぶことは、1ビットの雑音がどれだけ痛いかを選ぶことでもある。