Un serveur qui reçoit des données chiffrées en mode CBC renvoyait des erreurs différentes selon que le remplissage était incorrect après déchiffrement ou que le remplissage était correct mais que la vérification du contenu échouait. Quelle affirmation décrit correctement cette situation ?

Réponse : A. Un attaquant peut envoyer des textes chiffrés modifiés et, en se servant de la différence entre les erreurs comme indice, risque de retrouver le texte clair octet par octet sans connaître la clé

Lors du déchiffrement en mode CBC, inverser un bit d'un bloc de texte chiffré inverse le bit de même position dans le résultat déchiffré du bloc suivant. En envoyant des variantes du dernier octet du bloc précédent et en cherchant une valeur jugée « remplissage correct », un attaquant trouve le dernier octet du texte clair, puis, en répétant l'opération, révèle le texte clair octet par octet. C'est l'attaque par oracle de remplissage (padding oracle), dans laquelle les différences de type d'erreur ou de temps de réponse servent d'indice (l'oracle). La contre-mesure de base consiste à utiliser un chiffrement authentifié comme GCM, ou à vérifier d'abord un MAC joint au texte chiffré et à rejeter uniformément, avant tout déchiffrement, les textes chiffrés falsifiés.