#block-cipher

RFC 2994 순정 MISTY1 구현에 assert 한 줄이 얹혀 있다. bytes 비교가 사전식이라 128비트 키가 2^20 으로 잘리고, 그 100만 개를 전수 복호하면 DH{...} 형식 평문이 딱 하나 남는다. RFC 원문과의 기계 대조, 시험벡터 재현, C 독립 구현 교차검증까지.

AES에서 ShiftRows만 제거하면 남은 세 연산이 전부 컬럼 안에서 끝나기 때문에 128비트 블록이 독립적인 32비트 암호 네 개로 분해된다. 서버가 enc(secret) 자체는 복호화해 주지 않지만, 4바이트 청크 하나만 뒤집으면 "다른 암호문"이 되면서 나머지 세 청크는 secret 평문 그대로 돌아온다. 질의 두 번으로 16바이트를 전부 복구했다.

AES-CBC 서버가 IV 를 키로 재사용한다. 같은 블록을 IV 가 섞이는 자리와 안 섞이는 자리에 나란히 놓고 복호를 한 번 요청하면 두 평문의 XOR 이 그대로 IV, 즉 키가 된다. 진짜 관문은 그 요청이 unpad() 를 통과하게 만드는 꼬리 블록이었다.

3DES EDE(K1,K2,K1)로 암호화한 플래그를 주는 오라클인데, 정작 복호에 필요한 DED 모드만 막아 뒀다. E/D를 자리별로 고를 수 있는 점을 이용해 DEE·DDD·EED 세 번을 합치면 막힌 DED와 똑같은 효과가 나온다. 키를 몰라도 평문이 복원된다.