Even-Mansour-Konstruktion
Die kleinste Blockchiffre, die man ernsthaft in Betracht ziehen kann: eine öffentliche Permutation, eingeklemmt zwischen zwei XOR-Operationen mit Schlüsselmaterial.
Shimon Even und Yishay Mansour stellten sie 1991 vor, und sie wirkt fast zu einfach: E(x) = k2 ⊕ P(x ⊕ k1), wobei P eine allgemein bekannte Permutation ist. Das gesamte Geheimnis steckt in den beiden Whitening-Schlüsseln. Sie bewiesen, dass ein Angreifer etwa 2n/2 Anfragen braucht, und Joan Daemen veröffentlichte noch im selben Jahr einen Angriff, der genau diese Grenze erreicht.
2012 zeigten Dunkelman, Keller und Shamir, dass auch ein einziger Schlüssel, k1 = k2, genauso gut funktioniert. Die Konstruktion ist die Vorlage für Key-alternating Ciphers: AES lässt sich als iteriertes Even-Mansour lesen, mit festen Rundenpermutationen und dazwischen eingestreuten Rundenschlüsseln. Sicherheit nur bis zur halben Blockgröße ist auch der Grund, warum niemand eine solche Chiffre um einen 64-Bit-Block baut.