Una debolezza crittografica è una falla nel modo in cui un'applicazione usa segreti, firme, cifratura o casualità. Non si tratta sempre di un algoritmo compromesso; più spesso, il problema è una generazione debole delle chiavi, token prevedibili, segreti riutilizzati o una logica di verifica errata. In pratica, questo può consentire a un aggressore di falsificare un cookie di sessione, aggirare l'autenticazione, alterare dati firmati o recuperare informazioni protette.
Questo è importante perché la crittografia spesso protegge il confine di fiducia tra un utente non autenticato e un percorso di controllo amministrativo. Se il segreto usato per firmare le sessioni è indovinabile o gestito male, il server può accettare come valida una falsa identità. I difensori riducono questo rischio usando chiavi casuali robuste, librerie ben revisionate, durate sicure dei token e una rigorosa verifica delle firme e della freschezza. Il monitoraggio di creazioni di sessione insolite e l'applicazione del principio del privilegio minimo possono limitare i danni se viene individuata una debolezza.