Dipende dalla modalità di concatenamento. AES è un cifrario a blocchi, viene applicato su blocchi di 16 byte (esattamente). La modalità concatenamento definisce il modo in cui i dati di input diventano diversi blocchi di questo tipo e come i blocchi di output vengono quindi assemblati. La maggior parte delle modalità di concatenamento deve funzionare con una sorta di "valore iniziale", che non è segreto ma dovrebbe cambiare per ogni messaggio: questo è l'IV.

Riutilizzare lo stesso IV è mortale se si utilizza il concatenamento CTR modalità. In modalità CTR, AES viene utilizzato su una sequenza di valori di contatore successivi (che iniziano con IV) e la sequenza risultante di blocchi crittografati viene combinata (da XOR bit per bit) con i dati da crittografare (o decrittografare). Se usi la stessa flebo, ottieni la stessa sequenza, che è il famigerato "two-time pad". Fondamentalmente, XORing due stringhe crittografate insieme, si ottiene lo XOR dei due dati in chiaro. Questo apre a un sacco di attacchi e fondamentalmente l'intera faccenda è rotta.

Le cose sono meno terribili se usi CBC. In CBC, i dati stessi vengono suddivisi in blocchi da 16 byte. Quando un blocco deve essere crittografato, viene prima XORed con il precedente blocco crittografato . L'IV ha il ruolo del blocco "-1" (il blocco crittografato precedente per il primo blocco). La principale conseguenza del riutilizzo dell'IV è che se due messaggi iniziano con la stessa sequenza di byte, anche i messaggi crittografati saranno identici per alcuni blocchi. Questo fa trapelare dati e apre la possibilità di alcuni attacchi.

Per riassumere, non farlo. Usare lo stesso IV con la stessa chiave sconfigge sempre e sempre l'intero scopo dell'IV, motivo per cui è stata utilizzata una modalità concatenamento con IV in primo luogo.

Usare lo stesso IV per tutti i dati equivale a non usare affatto un IV: il primo blocco di testo cifrato sarà identico per testo in chiaro identico. Sarei interessato a sapere perché il tuo fornitore desidera utilizzare una flebo costante, ma non è questo il punto. Il punto è che il sistema è suscettibile in questo modo: se un utente malintenzionato può impostare le proprie credenziali e osservare il testo cifrato che viene generato, può confrontarlo con altre credenziali crittografate per trovare informazioni sulla chiave.

Non sono un tipo criptato, ma la mia comprensione è che se l'IV non cambia e lo stesso valore viene ricodificato, l'output sarebbe lo stesso. Pertanto sarebbe possibile dedurre il contenuto cercando valori ripetuti, come una credenziale che viene passata ad ogni richiesta.

Anche in questo caso, però, non sono un tipo criptato, quindi potrei sbagliarmi.