Расширение шифртекста (Ciphertext expansion)
Разница между длиной открытого текста и шифртекста — одна из величин, которые криптосистемы тихо позволяют расти.
Большинство схем шифрования делают выход длиннее входа. CBC с дополнением PKCS #7 всегда добавляет минимум один байт, а если открытый текст уже кратен размеру блока, дополнение составляет целый лишний блок. Вместе с сообщением должен ехать и вектор инициализации. Режим AEAD вроде AES-GCM добавляет тег аутентификации, обычно 16 байт.
Это не просто бухгалтерия. Если протокол использует пакеты фиксированного размера, накладные расходы могут вытолкнуть сообщение в больший пакет, и наблюдатель по длине что-то узнает. Отчасти поэтому TLS отказался от сжатия перед шифрованием: атаки вроде CRIME показали, что длина сжатых данных выдаёт секреты из того же потока.