Bleichenbacher-aanval
Daniel Bleichenbachers aanval uit 1998 waarmee RSA-berichten werden ontsleuteld door een server te vragen of de padding geldig was.
Op CRYPTO 1998 liet Bleichenbacher zien dat RSA-berichten met PKCS#1 v1.5-padding te breken waren door iedereen die ciphertexts naar een server kon sturen en kon zien of ze werden geaccepteerd. Dat ja-of-nee-antwoord fungeerde als padding oracle. Door steeds verder in te perken welke plaintext bij de ciphertext hoorde, had de aanvaller ruwweg een miljoen queries nodig, niet veel voor een server die de hele dag handshakes afhandelt.
De oplossing was geen nieuw algoritme maar het dichten van het lek. PKCS#1 v2 introduceerde OAEP en TLS ging bij foute padding doen alsof de handshake was geslaagd, met een willekeurig premaster secret. Dat belette niet dat ROBOT (2018) liet zien dat de bug steeds in nieuwe vormen terugkeert zodra een implementatie fouten verschillend afhandelt.