Construcción de Even–Mansour
El cifrado de bloque más pequeño que alguien podría tomarse en serio: una permutación pública entre dos XOR con material de clave.
Shimon Even y Yishay Mansour la propusieron en 1991, y parece casi demasiado sencilla: E(x) = k2 ⊕ P(x ⊕ k1), donde P es una permutación que conoce todo el mundo. Todo el secreto está en las dos claves de blanqueo. Demostraron que un atacante necesita unas 2n/2 consultas para romperla, y Joan Daemen publicó ese mismo año un ataque que alcanza justo ese límite.
En 2012, Dunkelman, Keller y Shamir mostraron que basta con una sola clave, k1 = k2, sin perder seguridad. La construcción es el patrón de los cifrados de claves alternas: AES puede leerse como un Even–Mansour iterado, con permutaciones de ronda fijas y las subclaves intercaladas. Que la seguridad sea la mitad del tamaño de bloque explica también por qué nadie la monta sobre bloques de 64 bits.