既知IV攻撃
IVを事前に知り、平文を選べる攻撃者は、推測を一ブロックずつ検証できる。BEAST攻撃の土台となった考え方だ。
CBCモードでは、各平文ブロックが暗号化の前に直前の暗号文ブロックとXORされる。次のIVが既知だと、データを守っているのはIVではなく、攻撃者が平文を操れないことだけになる。攻撃者はIVとのXORが秘密ブロックについての推測と等しくなるブロックを選び、暗号文を見て推測が当たったか確かめる。
TLS 1.0は直前の暗号文ブロックを次のレコードのIVに使っており、まさにその予測可能性があった。2011年、Thai DuongとJuliano RizzoはこれをHTTPSのCookieに対して悪用できることを示し、BEASTと名付けた。TLS 1.1で明示的なIVが導入されたが、本当の解決策はAES-GCMのようなAEAD暗号だった。