AES może ukryć kolory obrazu i jednocześnie zostawić widoczny jego kształt
Słynny „ECB penguin” pokazuje obraz zaszyfrowany silnym szyfrem blokowym, na którym mimo zmienionych wartości wciąż można rozpoznać zarys oryginału. Problemem nie jest złamanie AES, lecz tryb ECB. W ECB każdy blok jest szyfrowany niezależnie i bez randomizacji, więc dwa identyczne bloki tekstu jawnego pod tym samym kluczem dają identyczne bloki szyfrogramu. W danych o dużej regularności — takich jak prosty obraz — powtarzalne obszary pozostawiają wzór. NIST wprost wskazuje tę własność jako poważny powód ograniczania użycia ECB. Silny prymityw użyty w złym trybie może więc zachować strukturę, której użytkownik oczekiwał się pozbyć.
AES nie mówi jeszcze, jak szyfrować długą wiadomość
AES przyjmuje blok o stałej długości. Aby zaszyfrować większy plik, potrzebny jest tryb pracy określający, jak przetwarzać kolejne bloki. ECB — Electronic Codebook — wybiera najprostszą regułę: każdy blok jest szyfrowany niezależnie tym samym kluczem. To matematycznie poprawne użycie funkcji AES dla każdego bloku, ale jego konsekwencje dla całej wiadomości mogą być niepożądane.
Identyczne wejścia dają identyczne wyjścia
ECB nie używa randomizującego IV ani zależności między sąsiednimi blokami. Jeśli blok P1 jest równy P2, to E(K,P1) musi być równy E(K,P2). Szyfr nie ujawnia bezpośrednio zawartości bloku, lecz ujawnia relację „te dwa fragmenty są takie same”. NIST opisuje tę własność wprost: porównanie dwóch bloków szyfrogramu zdradza, czy odpowiadające im bloki tekstu jawnego były identyczne.
Obrazy są idealnym materiałem demonstracyjnym
W prostych obrazach duże obszary mogą składać się z powtarzalnych wartości pikseli. Po podziale na bloki wiele fragmentów tła lub obiektu jest więc identycznych. ECB zamienia każdy z tych bloków na inny ciąg bitów, ale wszystkie kopie tego samego bloku nadal zamienia na tę samą wartość. Kolory wyglądają jak szum, lecz przestrzenny układ powtórzeń pozostaje, dlatego oko potrafi rozpoznać sylwetkę. Nie jest to uniwersalny test szyfrowania — chodzi o bardzo regularne dane — ale demonstracja świetnie pokazuje wyciek struktury.
Inne tryby wprowadzają kontekst lub unikalność
Tryby takie jak CBC, CTR czy GCM używają IV, liczników albo zależności między blokami po to, aby identyczne fragmenty w różnych pozycjach nie musiały tworzyć identycznych bloków szyfrogramu. Każdy z tych trybów ma własne wymagania: IV może wymagać nieprzewidywalności albo unikalności, a GCM dodatkowo zapewnia uwierzytelnienie. Nie istnieje więc prosta reguła „ECB zamień na cokolwiek”. Należy używać współczesnej, przeanalizowanej konstrukcji odpowiedniej do celu.
To modelowy przykład różnicy między algorytmem a sposobem użycia
Zdanie „szyfrujemy AES-256” brzmi imponująco, ale bez nazwy trybu i zasad zarządzania parametrami mówi za mało. AES może pozostawać kryptograficznie mocny, a system wokół niego ujawniać wzorce. W bezpieczeństwie bardzo często nie atakuje się najsilniejszego elementu wprost. Wykorzystuje się połączenie elementów, które nie zachowuje własności oczekiwanych przez projektanta. ECB jest wyjątkowo wizualnym przykładem tego zjawiska.
Pingwin działa jako demonstracja tylko wtedy, gdy w danych naprawdę powtarzają się bloki
Słynny efekt nie oznacza, że ECB zawsze zostawia czytelny obraz. Wyciek wynika z deterministycznej reguły „ten sam blok plaintextu pod tym samym kluczem daje ten sam blok ciphertextu”. Surowy obraz z dużymi jednolitymi obszarami zawiera wiele identycznych bloków, więc ich rozmieszczenie tworzy wzór. Kompresja przed szyfrowaniem, szum lub inny układ danych może znacznie ograniczyć takie powtórzenia i wizualny efekt zniknie, choć fundamentalna wada ECB pozostaje. To ważne zastrzeżenie, bo demonstracja ma pokazywać mechanizm, a nie obiecywać, że każdy plik zaszyfrowany ECB będzie „widoczny”. NIST rozważa ograniczenie użycia ECB właśnie dlatego, że ujawnianie równości bloków może zdradzać strukturę danych nawet bez odzyskania ich literalnej treści.
Losowy IV nie jest dekoracją — w wielu trybach sprawia, że identyczny początek nie szyfruje się identycznie
ECB wyróżnia się tym, że każdy blok jest przekształcany niezależnie tym samym kluczem. Inne klasyczne tryby wykorzystują stan, licznik lub wartość inicjalizującą, dzięki czemu pozycja bloku i kontekst wpływają na wynik. W nowoczesnych konstrukcjach trzeba dodatkowo zapewnić integralność, dlatego zamiast dobierać osobno „jakiś tryb szyfrowania” zwykle wybiera się schemat AEAD o jasno opisanych wymaganiach dla nonce. Pingwin ECB jest więc dobrym pierwszym krokiem, ale nie pełnym kursem projektowania szyfrowania. Pokazuje jedną konkretną rzecz: bez mechanizmu rozbijającego deterministyczną równość bloków szyfr blokowy może zachować strukturę. Dalszy projekt musi jeszcze odpowiedzieć, jak wykrywać modyfikacje i jak zarządzać unikalnością wartości sesyjnych.