Bleichenbacher 攻撃.

Daniel Bleichenbacher は 1998 年の CRYPTO で、RSA-PKCS#1 v1.5 暗号化を用いる SSL ハンドシェイクへのこの攻撃を発表しました。サーバは意図せずパディングオラクルとして振る舞い、区別可能なあらゆる応答(TLS アラートコード、接続リセット、あるいはタイミング)が、改変された暗号文がバイト列 0x00 0x02 で始まる値に復号されるかどうかを攻撃者に教えてしまいます。RSA は乗法準同型であるため、攻撃者は捕捉した暗号文を選んだ値 s で乗じて結果を送信し、「パディングが正当」という各回答を使って可能な平文の集合を絞り込みます。およそ 100 万回の問い合わせの後、区間は単一の値へ収束し、RSA で暗号化された事前マスタが復元されます。これは秘密鍵に一切触れることなく行われ、攻撃者はセッションを復号したり RSA 署名を偽造したりできるようになります。

PKCS#1 v1.5 のアンパディングは一定時間実装を拒むため、この欠陥はなかなか根絶できません。これは DROWN(CVE-2016-0800) として再来し、SSLv2 オラクルを用いて現代の TLS セッションを破りました。さらに ROBOT(Return Of Bleichenbacher's Oracle Threat、2017) として再現し、研究者の Böck、Somorovsky、Young は F5(CVE-2017-6168)、Citrix、Cisco などが依然として脆弱であることを発見し、Facebook と PayPal に対して実証しました。対策は、正しいパディングと不正なパディングで同一のエラー処理を行うこと、RSA-OAEP を優先すること、RSA 鍵交換の暗号スイートを無効化すること、そしてハンドシェイクから RSA 暗号化を完全に排除した TLS 1.3 を採用することです。

flowchart TD
  A[Attacker captures RSA ciphertext c] --> B["Pick multiplier s, send c·s^e mod n"]
  B --> C{Server padding check}
  C -->|"Starts 0x00 0x02 → valid"| D[Narrow plaintext interval]
  C -->|"Invalid → distinct response"| E[Discard this s]
  D --> F{Interval = 1 value?}
  E --> B
  F -->|No| B
  F -->|Yes| G[Premaster secret recovered]