Ataque de Manger
Ataque de 2001 que mostrou que um único bit vazado por mensagens de erro basta para decifrar textos cifrados RSA-OAEP.
James Manger apresentou o ataque no CRYPTO 2001. Ele depende de uma implementação que revela se um texto cifrado modificado era inválido, o que a transforma em um oráculo de texto cifrado escolhido adaptativo. Com esse oráculo, o atacante envia milhares de variações e reconstrói o texto claro aos poucos, embora o OAEP tenha sido projetado justamente para impedir isso.
A lição foi que a prova de segurança do OAEP não cobre detalhes de implementação. Uma mensagem de erro que distingue falhas de formatação de outras falhas é um oráculo, e a resposta correta é um erro uniforme, não importa o que tenha dado errado. O ataque pertence à mesma família do ataque de Bleichenbacher ao PKCS#1 v1.5.