Шифртекст (Ciphertext).

Шифртекст — это зашифрованная форма открытого текста, полученная шифром при конкретных ключе, режиме и, если применимо, nonce или IV. Хорошо спроектированный шифр делает шифртекст без ключа вычислительно неотличимым от случайных данных — это свойство формализовано как безопасность IND-CPA, а для аутентифицированных схем — IND-CCA.

Сам по себе шифртекст не гарантирует безопасности; важно, как он генерируется и обрабатывается. Он должен сочетаться с грамотным управлением ключами, аутентифицированным шифрованием (AES-GCM, ChaCha20-Poly1305) для обнаружения подмен и уникальным nonce для каждого сообщения — повторное использование nonce в GCM катастрофически раскрывает ключ аутентификации. История полна атак, которые восстанавливали открытый текст, так и не взломав сам шифр, за счёт злоупотребления тем, как обрабатывался шифртекст: атаки padding-oracle на CBC, BEAST (CVE-2011-3389) против TLS 1.0, тайминговые утечки Lucky Thirteen и POODLE (CVE-2014-3566, раскрыта в октябре 2014 года), которая вынуждала откат к уязвимому дополнению (padding) CBC в SSL 3.0, чтобы расшифровывать сессионные куки по одному байту за раз.

Защитные уроки неизменны: предпочитайте режимы AEAD, применяйте encrypt-then-MAC вместо MAC-then-encrypt, используйте проверку за константное время и отклоняйте любой шифртекст, у которого не прошёл проверку аутентификационный тег, прежде чем делать с ним что-либо ещё.

flowchart LR
  P[Открытый текст] --> E[Шифрование<br/>шифр + ключ + nonce/IV]
  E --> C[Шифртекст + аутентификационный тег]
  C -->|хранение / передача| V{Проверка тега}
  V -->|Тег верен| D[Расшифровка → открытый текст]
  V -->|Тег неверен| R[Отклонить — не обрабатывать]