パディングオラクル攻撃の原理（CBC を1バイトずつ復号する）

「鍵を破る」攻撃ではない

パディングオラクル攻撃は、AES や DES そのものを破りません。鍵は最後まで分からないまま、暗号文だけを復号します。突くのは暗号アルゴリズムではなく、CBC モードの構造と、サーバーが漏らす1ビットの情報です。

前提を3つ押さえます。詳しくは 暗号の基礎 を参照してください。

• ブロック暗号：AES は16バイト単位でしか処理できない。平文はブロック長の倍数に**詰め物（パディング）**して長さを合わせる。
• CBC モード：各ブロックを暗号化する前に1つ前の暗号文ブロックと XOR して連鎖させる。先頭ブロックの相手が IV（初期化ベクトル）。
• パディング検証：復号後、末尾の詰め物が規則どおりかをサーバーが点検する。ここが不正なら専用のエラーが返る――この区別が「オラクル（神託）」になる。

CBC 復号の式を分解する

攻撃の鍵は、CBC 復号が「ブロック暗号の復号」と「XOR」の2段だという点です。D を鍵によるブロック復号、C[i] を i 番目の暗号文ブロック、P[i] を平文ブロックとすると、

中間値    I[i] = D(C[i])            ← 鍵がないと攻撃者には不明
平文      P[i] = I[i] XOR C[i-1]    ← 直前の暗号文ブロックと XOR
（先頭は C[i-1] の代わりに IV を使う）

ここで決定的に重要なのは、I[i] = D(C[i]) は C[i-1] に一切依存しないことです。攻撃者が手前のブロック C[i-1] をどう書き換えても、I[i] は同じ値のまま。すると平文側はこう動きます。

偽の手前ブロック R を送ると、復号結果の末尾は
  P'[i] = I[i] XOR R
攻撃者は R を自由に選べる。I[i] は固定。
→ R を調整すれば P'[i] を狙った値に「ずらせる」

I[i] さえ分かれば、本物の平文は P[i] = I[i] XOR C[i-1]（C[i-1] は既知）で即座に求まります。攻撃の目標は鍵ではなく、この中間値 I[i] を1バイトずつ手に入れることです。

末尾1バイトを当てる状態遷移

ターゲットブロック C[i] の中間値 I[i] の最後の1バイトを求めます。攻撃者は16バイトの偽ブロック R = R[0..15] を自分で作り、R || C[i] の2ブロックをサーバーに送って、パディング検証の合否だけを観測します。

1. 状態A（探索開始）：R[15] を 0x00 から 0xFF まで順に変えて送る。サーバーは R || C[i] を復号し、末尾バイト P'[15] = I[i][15] XOR R[15] を検証する。
2. 状態B（合格を1つ掴む）：256通りのうち、ふつう1つだけ「パディング OK」が返る。これは末尾が 01 になった瞬間、つまり I[i][15] XOR R[15] = 0x01 が成立した R[15]。
3. 状態C（中間値を逆算）：式を解いて I[i][15] = R[15] XOR 0x01。鍵なしで中間値の1バイトが確定した。
4. 状態D（本物の平文へ）：P[i][15] = I[i][15] XOR C[i-1][15]。C[i-1] は手元の暗号文なので、平文の最終バイトが読める。

2バイト目以降へ繰り上げる

末尾が取れたら、狙うパディング長を1つ伸ばします。次は末尾2バイトを 02 02 にしたい。I[i][15] はもう分かっているので、末尾バイトが確実に 02 になるよう R[15] = I[i][15] XOR 0x02 に固定します。そのうえで R[14] を 0x00〜0xFF で総当たりし、末尾が 02 02 になる（=パディング OK）瞬間を探す。

手順（k バイト目を求める。pad = 求めたいパディング長）
  既知の I[i][j]（j > 16-pad の桁）について
    R[j] = I[i][j] XOR pad   … 末尾を pad で揃える固定値
  未知の1バイト R[16-pad] を 0x00..0xFF で総当たり
  パディング OK が出たら
    I[i][16-pad] = R[16-pad] XOR pad
  pad を 1 増やして次のバイトへ繰り返す

これを16回繰り返せばブロック1つの中間値が丸ごと埋まり、平文16バイトが復元できます。コストは「1バイトあたり最大256回」×16バイト＝最悪4096回のリクエストで、256^16 の総当たりとは比べ物にならない軽さです。任意ブロックに同じ操作を適用すれば、IV と先頭ブロックを含め暗号文全体を順に復号できます。鍵は一度も登場しません。

なぜオラクルが致命傷なのか

本質は CBC が「暗号文の改ざんに無防備」かつ「復号の途中結果を観測可能」 な点にあります。攻撃者が R[15] を1ずつ変えるたび、サーバーは「合格/不合格」という1ビットを返す。この1ビットの差が、本来秘密であるはずの中間値を一意に絞り込みます。エラーメッセージが同一でも、応答時間の差や接続切断の有無といったサイドチャネルがあれば同じ情報が漏れます。

POODLE と Lucky13：同じ穴の別の顔

どちらも「CBC ＋ 復号後に検証」という設計（MAC-then-Encrypt 系）に根があります。

POODLE はとりわけ実害が大きく、攻撃者が TLS 接続を妨害して**安全な新プロトコルから脆弱な SSL 3.0 へ引きずり下ろす（ダウングレード）**ことで成立しました。対策は SSL 3.0 の全面廃止であり、現在は TLS でこの旧バージョンを無効化するのが標準です。

根本対策：Encrypt-then-MAC

対症療法（エラーを統一、応答時間を一定化）は実装漏れと隣り合わせで脆い。設計で断つのが正解です。

ポイントは検証の順番です。Encrypt-then-MAC では、受信側はまず暗号文に対する MAC を照合し、一致しなければパディングを見る前に問答無用で破棄します。攻撃者が R を細工しても MAC が合わず、復号処理に到達できない。送ったメッセージが必ず同じ「MAC 不正」で弾かれるので、合否のばらつき＝オラクルが消えます。MAC の比較は定数時間比較で行い、ここでも時間差を作らないのが鉄則です（MAC とハッシュの違いは ハッシュ化と暗号化の違い を参照）。

CBC を1バイトずつ崩すこの攻撃は、「暗号化さえすれば安全」という思い込みが完全性（改ざん検知）の欠落で破綻する典型例です。秘匿と改ざん検知が別物である点は 暗号の基礎、検証に使う MAC の位置づけは ハッシュ化と暗号化の違い、通信路でこれらを束ねた全体像は TLS / SSL を合わせて確認してください。