Padding oracle: decifrare senza la chiave

In CBC con padding PKCS#7, il decifrato deve terminare con un padding valido. Se il server risponde in modo diverso quando il padding è errato, hai un oracolo.

Come funziona

CBC fa XOR del blocco decifrato col precedente. Modificando l'ultimo byte del blocco precedente e osservando quando il padding diventa valido, ricavi il byte intermedio, e quindi il plaintext. Ripeti per ogni byte, ogni blocco. Circa 128 richieste per blocco.

P[i] = D(C) XOR C_prev
# controlli C_prev finché il padding torna valido -> ricavi D(C)

Difesa

Usa cifratura autenticata (AES-GCM, ChaCha20-Poly1305): il tag viene verificato prima di decifrare, e un ciphertext manomesso è rifiutato senza rivelare nulla. Se resti su CBC, applica encrypt-then-MAC e verifica il MAC in tempo costante prima del padding. Nessun errore differenziato.