Ein Server, der im CBC-Modus verschlüsselte Daten empfängt, gab unterschiedliche Fehler zurück, je nachdem, ob nach dem Entschlüsseln das Padding ungültig war oder ob das Padding gültig war, aber die Prüfung des Inhalts fehlschlug. Welche Aussage über diese Situation ist richtig?

Antwort: A. Ein Angreifer kann veränderte Geheimtexte senden und anhand der unterschiedlichen Fehler den Klartext ohne Kenntnis des Schlüssels möglicherweise Byte für Byte ermitteln

Beim Entschlüsseln im CBC-Modus kehrt das Invertieren eines Bits in einem Geheimtextblock das Bit an derselben Position im entschlüsselten nächsten Block um. Der Angreifer sendet Nachrichten, in denen er das letzte Byte des vorhergehenden Blocks variiert, sucht den Wert, bei dem das Padding als „gültig“ beurteilt wird, und ermittelt so das letzte Byte des Klartexts; durch Wiederholung kann er den Klartext Byte für Byte aufdecken. Das ist der Padding-Oracle-Angriff, bei dem die Art des Fehlers oder Unterschiede in der Antwortzeit als Hinweis (Orakel) dienen. Grundlegende Gegenmaßnahmen sind, eine authentifizierte Verschlüsselung wie GCM zu verwenden oder zuerst einen an den Geheimtext angehängten MAC zu prüfen und manipulierte Geheimtexte vor dem Entschlüsseln einheitlich abzuweisen.