Bedingte differentielle Kryptanalyse
Differentielle Kryptanalyse gegen Schieberegister-Chiffren, bei der der Angreifer Initialisierungsvektoren so wählt, dass sich die Differenz vorhersagbar ausbreitet.
Simon Knellwolf, Willi Meier und María Naya-Plasencia führten die Methode 2010 ein. Ihre Ziele waren Chiffren auf Basis nichtlinear rückgekoppelter Schieberegister (NLFSR) – Grain, Trivium, KATAN. Dort wird jedes neue Bit über UND-Gatter eingemischt; ob eine Differenz verschwindet oder sich fortpflanzt, hängt also von den umgebenden Bits ab.
Der Kniff besteht darin, Bedingungen aufzuerlegen: Man wählt die IV-Bits so, dass diejenigen UND-Terme, die die Differenz sonst verschmieren würden, konstant bleiben. Manche Bedingungen hängen von Schlüsselbits ab – wer eine auffällige Verzerrung im Ausgang beobachtet, hat damit etwas über den Schlüssel gelernt. Die Verwandtschaft mit dem Cube-Angriff liegt auf der Hand: Beide nutzen, dass derjenige, der den IV kontrolliert, den Anfang der Berechnung kontrolliert. Das volle Grain v1 und Trivium haben überlebt, reduzierte Varianten nicht.