Атака Менгера (Manger)
Атака 2001 года, показавшая, что одного бита, утёкшего через сообщение об ошибке, достаточно для расшифровки RSA-OAEP.
Джеймс Менгер представил атаку на CRYPTO 2001. Она работает, если реализация сообщает, был ли изменённый шифртекст признан недействительным, — это превращает её в оракул для адаптивной атаки с выбранным шифртекстом. Отправив тысячи вариаций, атакующий шаг за шагом восстанавливает открытый текст, хотя OAEP создавали именно для защиты от такого.
Вывод: доказательство стойкости OAEP не охватывает детали реализации. Сообщение об ошибке, отличающее сбой форматирования от прочих сбоев, — это оракул, а правильный ответ — одна и та же ошибка при любой причине. Атака принадлежит к тому же семейству, что и атака Блейхенбахера на PKCS#1 v1.5.