パーティショニング・オラクル攻撃

Julia Len、Paul Grubbs、Thomas Ristenpartが、USENIX Security 2021でこの手法を発表した。AES-GCMとChaCha20-Poly1305は鍵コミットメントを持たないという事実を突き、ちょっとした代数で、認証タグが多数の鍵のもとで同時に通る1つの暗号文を作れる。鍵がパスワードから導出されている場合、攻撃者は多数のパスワード候補を1つのメッセージに詰め込める。

サーバーは復号に成功したかどうかしか返さないが、それで十分である。応答のたびに候補集合が二分され、1回につき1つを試す探索が二分探索に変わる。研究者はプロキシプロトコルのShadowsocksに対して実証した。教訓はパディングオラクルが教えたものと同じで、エラーメッセージもまた通信路なのだ。