@heise: Padding Oracle != Key recovery

Eine Padding Oracle-Attacke erlaubt einem zwar, beliebige ciphertexts
zu entschlüsseln oder auch beliebige plaintexts zu verschlüsseln.
Allerdings beides ohne, dass man den Key herausfindet! Das wird auch
im Paper deutlich, wo klar drinsteht (sucht mal nach "recovery"),
dass sich der Key nicht entschlüsseln lässt.

Nun mag manch einer sagen: hey, ist doch kaum ein Unterschied! Ist es
aber wohl, weil man die Attacke für jeden einezelnen
Verschlüsselungs- und Entschlüsselungsprozess wiederholen muss. Es
dauert also jedes mal ne Viertelstunde pro Nachricht. In eine
gesicherte Kommunikation einer Bankverbindung könnte man hiermit
beispielsweise nicht eingreifen, da die beiden Parteien beim
man-in-the-middlen merken, dass das Gegenüber viel zu lange braucht,
um jede einzelne Nachricht zu übertragen.