Заполнение атаки оракула, шифрование вашего собственного сообщения
Насколько я понимаю, атака с использованием шифрования на оракула-заполнителя состоит в том, что у атакующего есть набор Pi и Dec(Ci).
Я понимаю, что, выполнив обратный расчет, злоумышленник может узнать Ci-1, потому что мы имеем
Pi = Dec(Ci) ^ Ci-1
Таким образом, атакующий может найти все Ci-1, но что происходит с первым Ci? Поскольку вы начинаете с конца и возвращаетесь назад, похоже, что последний Ci не будет вычислен, и в этом случае злоумышленник не сможет зашифровать все сообщение...?