Nichtlinearer Invariantenangriff
Eine Verallgemeinerung des Invariant-Subspace-Angriffs, bei der das erhaltene Muster eine nichtlineare Boolesche Funktion statt eines Unterraums ist.
Todo, Leander und Sasaki zeigten 2016, dass es genügt, eine Funktion g zu finden, für die g(x) ⊕ g(F(x)) für die Rundenfunktion F konstant ist. Dann sagt g des Klartexts g des Chiffretexts für jeden passenden Schlüssel voraus, egal wie viele Runden es sind. Anders als bei der linearen Kryptanalyse ist daran nichts Probabilistisches: Die Beziehung gilt mit Sicherheit oder gar nicht.
Der Angriff brach SCREAM, iSCREAM und Midori64 für Klassen schwacher Schlüssel, und in manchen Betriebsmodi genügten bekannte Chiffretexte allein, um Informationen über den Klartext preiszugeben. Wie beim Unterraum-Angriff war ein dünner Key Schedule mit allzu simplen Rundenkonstanten schuld — leichtgewichtige Chiffren, die ein Gatter zu viel eingespart hatten.