Ataques de oráculo de relleno (Padding Oracle)

Los algoritmos por bloques como AES procesan datos en fragmentos fijos de 16 bytes. Si el último bloque de un mensaje tiene solo 13 bytes, faltan 3 bytes para completarlo. El estándar PKCS#7 rellena esos 3 bytes vacíos con el valor hexadecimal del número de bytes añadidos: 0x03 0x03 0x03. Si falta 1 byte, añade 0x01. Si el mensaje ya mide un múltiplo exacto de 16 bytes, se añade un bloque entero de 16 bytes de relleno con valor 0x10. Al descifrar, el receptor lee el último byte y retira esa cantidad de bytes del final.

Un 'oráculo' es cualquier sistema que responde de manera diferente según si el relleno es válido o no. Si un atacante intercepta un token cifrado en una cookie y altera el último byte del bloque anterior, al enviar la petición al servidor pueden pasar dos cosas: 1) El servidor responde HTTP 500 'Error de desrellenado / Padding inválido'. 2) El servidor responde HTTP 403 'Datos inválidos / Sesión expirada'. Esa sutil diferencia de código o tiempo de respuesta confirma al atacante si su modificación produjo un relleno PKCS#7 válido.

En AES-CBC, el texto claro del bloque actual se obtiene haciendo un XOR entre el bloque descifrado intermedio y el bloque cifrado anterior. Modificando el byte del bloque anterior desde 0x00 hasta 0xFF (256 intentos como máximo), el atacante encuentra el valor exacto que hace que el receptor interprete el último byte como 0x01. Conociendo el byte que inyectó y el resultado del XOR, el atacante calcula algebraicamente el byte del texto claro original. Repitiendo el proceso hacia la izquierda, descifra el bloque entero en apenas unos miles de peticiones.

La razón por la que los ataques de oráculo de relleno tuvieron tanto éxito (POODLE, Lucky Thirteen) es que la arquitectura descifraba primero y comprobaba la integridad después (o no la comprobaba). En los esquemas modernos AEAD (como AES-GCM o ChaCha20-Poly1305), el orden es estricto: el tag de autenticación se valida en tiempo constante ANTES de intentar descifrar cualquier contenido. Si el texto cifrado ha sufrido la menor alteración de un solo bit, la operación se cancela en seco sin ejecutar desrellenado.