Marvin攻撃

Red HatのHubert Karioは、多数のライブラリでPKCS#1 v1.5の復号にかかる時間が、パディングの正否によって測定可能なほど違うことを示した。差はしばしば数ナノ秒にすぎなかったが、十分なサンプルと統計があればオラクルとして機能した。1998年にDaniel Bleichenbacherが突いたのと同じオラクルを、エラーメッセージではなくクロックサイクルで作り直したわけだ。

名前は、なかなか死なないバグへの皮肉である。従来の対策、つまり何が失敗しても同じ応答を返すことは、その応答の裏のコードが異なる経路を通るなら不十分だ。推奨は、PKCS#1 v1.5による暗号化の利用をやめ、OAEPか、RSA暗号化に頼らない鍵交換へ移ることである。