Khufu et Khafre
Le couple de chiffrements par blocs de Ralph Merkle chez Xerox, baptisés d'après des pharaons et publiés malgré la demande polie de la NSA de n'en rien faire.
Merkle les a conçus au Xerox PARC vers 1989 comme des alternatives plus rapides à DES. Tous deux utilisent des blocs de 64 bits. Khufu dérive ses S-boxes de la clé, ce qui les dérobe à l'attaquant au prix d'une initialisation coûteuse ; Khafre emploie des tables fixes et convient quand les clés changent souvent. Les tables dépendantes de la clé sont réapparues quelques années plus tard dans Blowfish.
Xerox a déposé un brevet, et la NSA a demandé à l'entreprise de ne pas publier l'article — demande que Xerox, soucieuse de ses contrats publics, a acceptée. Quelqu'un qui en avait une copie l'a quand même postée sur le groupe sci.crypt en 1989. Henri Gilbert et Pascal Chauvaud ont présenté en 1994 une attaque différentielle sur Khufu à 16 tours, qui exige toutefois une quantité de clairs choisis irréaliste.