Ataque multiobjetivo
Atacar muchas claves a la vez y conformarse con romper cualquiera de ellas, lo que abarata la búsqueda exhaustiva.
Recorrer un espacio de claves de 128 bits cuesta de media 2127 intentos. Si el atacante tiene el mismo texto en claro conocido cifrado con 240 claves distintas, bastan unos 288 intentos para acertar alguna, porque cada prueba se compara con toda la colección de una vez. Eli Biham demostró el principio contra DES en 1996, y Daniel J. Bernstein insistió en 2005 en lo poco que lo tienen en cuenta los márgenes de seguridad.
Por eso TLS 1.3 no usa números de secuencia sin más como nonce de AES-GCM, sino que los combina con XOR con un IV secreto derivado para cada conexión. Bellare y Tackmann analizaron justo ese detalle en 2016. El resto de defensas son aburridas: claves más largas, o evitar que usuarios distintos cifren el mismo bloque predecible.