マリアビリティ(Malleability)

多くの暗号は設計上マリアブルである。平文中のあるビットの位置を知っていれば、暗号文の対応するビットを反転させるだけでよい。CBC に対するビットフリップ攻撃や、CTR モードへの単純な改ざんはこれが根拠だ。暗号化が約束するのは「読まれない」ことであり、「変わらず届く」ことではない。

対策は完全性の保護で、MAC か、AES-GCM や ChaCha20-Poly1305 といった AEAD モードを使う。タグは復号の前に検証すべきで、後で検証するとエラーが応答ごとに異なる形で現れ、パディングオラクルへの新たな道を開いてしまう。