BEAST攻击

链式 CBC 给了我们预先知道下一个 IV 的能力（丧失了 IV 随机的保证），通过对第一个块消息空间内的爆破，我们就能够得到开始的密文上第一个块上的明文。这样就不是对整个消息爆破而是单独一个个块去爆破，在消息空间本来就低熵的情况下这个爆破的代价只会更小

已知：

$$c_1=F_k(IV\oplus m_1),c_{n+1}=F_k(c_n\oplus m_{n+1})$$

第一次加密只到 $c_n$ 就停了，CPA 模型下我们能够控制 $m_{n+1}$

如下构造：

$$m_{n+1}=IV\oplus c_n\oplus r$$

则有

$$c_{n+1}=c_1⟺r=m_1$$