Probabilistische neutrale Bits
Schlüsselbits, die eine messbare Verzerrung kaum beeinflussen und die der Angreifer daher nicht mitraten muss.
Jean-Philippe Aumasson und Kollegen führten das Konzept 2008 ein, in einem Aufsatz mit dem unwiderstehlichen Titel New Features of Latin Dances über Salsa20 und ChaCha. Der Angreifer findet zunächst eine Differenz, die einige Runden tief ein verzerrtes Bit erzeugt, und rechnet dann vom Ausgang unter einem geratenen Schlüssel rückwärts, um zu prüfen, ob die Verzerrung auftaucht.
Der Clou: Viele Schlüsselbits spielen für diese Rückwärtsrechnung kaum eine Rolle. Man nennt sie neutral – setzt man sie falsch, lässt die Verzerrung nur ein wenig nach. Der Angreifer rät also nur die signifikanten Bits und füllt den Rest zufällig auf, was den Suchraum drastisch verkleinert. Nahezu jede spätere Verbesserung gegen rundenreduziertes ChaCha baut auf dieser Idee auf. Das volle ChaCha20 mit 20 Runden bleibt weit außer Reichweite.