Ataque de cifrotexto escolhido

Um ataque de cifrotexto escolhido (ACE) é um modelo de ataque para criptoanálise no qual o criptoanalista coleta informação, pelo menos parcialmente, pela escolha de um cifrotexto e pela obtenção da sua decriptação sob uma chave desconhecida. No ataque, o adversário tem a possibilidade de obter os purotextos correspondentes a um ou mais cifrotextos da sua escolha. A partir dessas peças de informação, o adversário pode tentar recuperar a chave secreta usada na decriptação. Diversos esquemas considerados seguros podem ser violados em um ataque de cifrotexto-escolhido. Por exemplo, o criptosistema El Gamal é semânticamente seguro sob um ataque de purotexto escolhido, mas essa segurança semântica pode ser trivialmente violada em um ataque de cifrotexto escolhido. Versões antigas do RSA padding usadas no protocolo SSL eram vulneráveis a ataques de cifrotexto-escolhido adaptativos que revelavam as chaves das sessões SSL. Ataques de cifrotexto-escolhido tem implicações também em algumas cifras de fluxo auto-sincronizantes. Projetistas de smart cards criptográficos tamper-resistant necessitam estar particularmente atentos para esse tipo de ataque, uma vez que esses dispositivos podem ficar totalmente sob controle do adversário, que pode realizar uma grande quantidade de ataques de cifrotexto-escolhido na tentativa de recuperar a chave secreta. Quando um criptosistema é vulnerável a um ataque de cifrotexto-escolhido, os implementadores devem ter cuidado para evitar situações nas quais o adversário é capaz de decriptar cifrotextos-escolhidos (ou seja, evitar prover um oráculo de decriptação). Isso pode parecer mais difícil do que parece, uma vez que mesmo cifrotextos-escolhidos parciais podem permitir ataques sutis. Adicionalmente, alguns criptosistemas (como o RSA) usam o mesmo mecanismo para assinar mensagens e posteriormente decriptá-las. Isso permite ataques quando funções de embaralhamento (ou dispersão) não são usadas na mensagem a ser assinada. Uma abordagem melhor consiste no uso de criptosistemas que sejam demonstravelmente seguros sob ataques de cifrotexto-escolhido, incluindo (entre outros) RSA-OAEP, Cramer-Shoup e muitas formas de encriptação simétrica autenticada.