密文填塞攻擊

在加密學中，密文填塞攻擊（Padding Oracle attack，字面譯為填充神諭攻擊）是指使用密文的填充驗證信息來進行解密的攻擊方法。密碼學中，可變長度的明文信息通常需要經填充後才能兼容基礎的密碼原語。此攻擊方式依賴對密文是否被正確填充的反饋信息。密文填塞攻擊常常與分組密碼內的密碼塊鏈接解密模式有關。非對稱加密算法，如最優非對稱加密填充算法，也可能易受到密文填充攻擊。

對稱加密

在對稱加密中，填充神諭攻擊可應用在分組密碼工作模式上，其反饋的「神諭」（通常為服務器）信息將返回泄漏密文填充的正確與否。攻擊者可在沒有加密密鑰的情況下，透過此信息的神諭密鑰解密（或加密）信息。

對密碼塊鏈接進行密文填充攻擊

對密碼塊鏈接進行解密需要先解密所有密文組，再驗證填充，隨後移除PKCS7填充，最後再返回解密後的明文信息。 若服務器返回「填充無效」信息而非「解密失敗」錯誤，則攻擊者可利用服務器本身進行密文填塞來解密（或加密）信息。

進行密碼塊鏈接解密的數學公式為

$P_{i}=D_{K}(C_{i})\oplus C_{i-1},$

$C_{0}=IV.$

如上文所述，進行密碼塊鏈接解密時會將每個明文塊與先前的密文塊進行異或比較。 因此，若塊$C_{1}$更改了一個字節，則塊$P_{2}$中的對應字節也會被修改。

假設攻擊者擁有密文塊$C_{1},C_{2}$，且欲解密第二個密文塊來獲得明文$P_{2}$。 攻擊者可以更改$C_{1}$的最後一個字節（即$C_{1}'$），並發送$(IV,C_{1}',C_{2})$至服務器。 服務器隨後將返回最後一個解密塊（$P_{2}'$）的填充是否正確（是否等於0x01）。 若填充正確，攻擊者則能確定$D_{K}(C_{2})\oplus C_{1}'$的最後一個字節是$\mathrm {0x01}$，即$D_{K}(C_{2})=C_{1}'\oplus \mathrm {0x01}$。 若填充不正確，攻擊者則可以將$C_{1}'$的最後一個字節更改為下一個可能的值。 在最不理想的情況下，攻擊者需要進行256次嘗試（即嘗試每個字節）來尋找$P_{2}$的最後一個字節。若解密的明文塊內包含填充信息或用於填充的字節，攻擊者則還需要進行額外的嘗試來排除不同的可能性。

在確定$P_{2}$的最後一個字節後，攻擊者可以使用相同的手段來獲取$P_{2}$的倒數第二個字節。 攻擊者可將$C_{1}$的最後一個字節設置為$D_{K}(C_{2})\oplus \mathrm {0x02}$，進而可將$P_{2}$的相應字節設置為$\mathrm {0x02}$。 利用上述的相同方式，攻擊者可繼續更改倒數第二個字節，直到填充正確為止（0x02, 0x02）。

若一個密文塊包含了128比特（或16字節）的信息（如AES），攻擊者可在255x16=4080次嘗試中獲取到明文的$P_{2}$信息。這比使用暴力破解所需的$2^{128}$次嘗試要快得多。

使用密文填塞進行攻擊

使用密文填塞的攻擊方法起初由塞爾日·瓦德奈於2002年發布。攻擊者隨後利用此方法投入實際，用於應對SSL 和IPSec。除此之外，此攻擊方法也用於多個網頁框架上，如JavaServer Faces、Ruby on Rails、ASP.NET和Steam遊戲客戶端。2012年，此方法被證明為應對加固安全設備的有效方式。

雖然早期的攻擊方法均已被大多數TLS實現修復，但在2013年，網絡上出現了名為幸運十三攻擊的新變種，它使用側信道來重新利用軟件中的缺陷。截止2014年上半年，儘管幸運十三攻擊理論上對特定機器依然有效（參見信噪比），但研究學者們認為此方法在現實中已無威脅。截至2015年 (2015-Missing required parameter 1=month!)，對解密互聯網加密協議的最活躍攻擊方法為降級攻擊，如Logjam和Export RSA/FREAK攻擊，此類方法會欺騙客戶端使用舊版安全性相對較低的但兼容性較高的加密算法。另外，一種名為POODLE（2014年下半年出現）將降級攻擊（降級至SSL 3.0）與對老版本不安全協議的密文填充攻擊相結合，進而破解傳輸中的數據。2016年5月，研究人員發現OpenSSL在修復幸運十三時引入了另一個填充神諭，此缺陷被標記為CVE-2016-2107。