インビジブル・サラマンダー

Yevgeniy Dodis、Paul Grubbs、Thomas Ristenpart、Joy Woodageが2018年のCRYPTOで発表した。Messengerでは暗号化された添付ファイルを通報でき、通報は送信者が実際に何を送ったかを証明するはずだった。ところがAES-GCMは鍵にコミットしない。少し代数を使えば、認証タグが二つの異なる鍵で検証を通る暗号文を作れる。受信者には不快な画像が見え、通報を審査する側は別の鍵で復号して無害なサンショウウオを目にする。

Facebookは修正し、バグ報奨金を支払った。教訓はアプリより長く残った。AEADが保証するのは機密性と完全性であり、暗号文の読み方が一通りしかないことまでは含まれない。鍵コミットメントはそれ自体が設計要件となり、同じ弱点は2021年にパーティショニング・オラクル攻撃として再登場した。