Атака с известным IV
Если атакующий заранее знает IV и может выбирать открытый текст, он проверяет догадки блок за блоком. На этом построена BEAST.
В режиме CBC каждый блок открытого текста перед шифрованием складывается по XOR с предыдущим блоком шифртекста. Если следующий IV известен, данные защищает уже не он, а контроль атакующего над открытым текстом. Он подбирает блок, XOR которого с IV равен догадке о секретном блоке, и по шифртексту смотрит, верна ли догадка.
TLS 1.0 брал последний блок шифртекста как IV для следующей записи, что и давало такую предсказуемость. В 2011 году Тай Зуонг и Хулиано Рицо показали, как этим воспользоваться против cookie в HTTPS, назвав атаку BEAST. В TLS 1.1 появился явный IV, но настоящим решением стали AEAD-шифры вроде AES-GCM.