Multiple lineare Kryptoanalyse
Statt einer einzigen linearen Approximation nutzt der Angreifer viele gleichzeitig und addiert ihre Beiträge zu einem stärkeren statistischen Signal.
Die gewöhnliche lineare Kryptoanalyse beruht auf einer Approximation, die mit einer Wahrscheinlichkeit knapp neben einem halb gilt. 2004 zeigten Biryukov, De Cannière und Quisquater, dass sich viele Approximationen derselben Chiffre kombinieren und ihre Hinweise auf Schlüsselbits bündeln lassen. Das Signal wird stärker, und die Zahl der benötigten bekannten Klartext-Chiffretext-Paare sinkt.
Der Preis ist Buchführung. Die Korrelationen zwischen den Approximationen müssen nachgehalten werden, und eine schlecht gewählte Menge liefert Statistiken, die beeindruckend aussehen und nichts bedeuten. Die Technik wurde zum Standardwerkzeug gegen Blockchiffren mit reduzierter Rundenzahl – woher auch heute die meisten veröffentlichten Ergebnisse stammen.