Table d'approximation linéaire (LAT)
Table indiquant dans quelle mesure chaque combinaison linéaire des bits d'entrée d'une S-box prédit chaque combinaison de ses bits de sortie.
Pour chaque couple de masque d'entrée a et de masque de sortie b, la table compte combien d'entrées x vérifient a·x = b·S(x), moins la moitié de toutes les entrées possibles. Une valeur proche de zéro signifie que la relation tient aussi souvent que le hasard le voudrait ; une valeur absolue élevée est un biais sur lequel une attaque linéaire peut s'appuyer. C'est le pendant linéaire de la table de distribution des différences.
Mitsuru Matsui s'est appuyé sur des tables de ce genre quand il a cassé DES par cryptanalyse linéaire en 1993. La S-box d'AES a une entrée maximale en valeur absolue de 16 sur 128, soit une corrélation de 2−3 — la meilleure connue pour une permutation sur 8 bits. Cela paraît peu impressionnant, jusqu'à ce que des dizaines de S-boxes actives sur dix tours fassent fondre le biais vers presque rien.