Manger攻撃

James Mangerは2001年のCRYPTOでこの攻撃を発表した。前提は、変更した暗号文が不正だったかどうかを実装が明らかにしてしまうことで、これが適応的選択暗号文オラクルになる。このオラクルがあれば、攻撃者は何千もの変種を送り、少しずつ平文を再構成できる。OAEPはまさにそれを防ぐために設計されたのに、である。

教訓は、OAEPの安全性証明が実装の細部までは保証しないということだ。書式エラーとそれ以外の失敗を区別するエラーメッセージはオラクルであり、正しい対処は、何が起きても一様なエラーを返すことである。この攻撃は、PKCS#1 v1.5に対するBleichenbacher攻撃と同じ系統に属する。