Related-Key-Boomerang-Angriff

Biham, Dunkelman und Keller formalisierten die Kombination 2005: Man nehme Wagners Boomerang-Angriff, füge das Related-Key-Modell hinzu und nutze Schlüsseldifferenzen, um Zustandsdifferenzen genau in den Runden auszulöschen, in denen die Differentiale sonst am schwächsten wären. Vier Schlüssel statt einem verkürzen die Pfade durch die Chiffre erheblich.

Bekannt ist die Technik vor allem durch den Angriff von Biryukov und Khovratovich auf das volle AES-256 aus dem Jahr 2009, mit Kosten von rund 2^99,5. Erstmals fiel das gesamte AES-256 in irgendeinem Modell schneller als per Brute Force – und es erinnert daran, dass AES-256 einen schwächeren Schlüsselplan hat als AES-128. In der Praxis ändert sich nichts: Ein vernünftiges Protokoll überlässt einem Angreifer keine Schlüssel mit frei gewählten Beziehungen.