Attaque multi-cibles
Viser plusieurs clés à la fois et se contenter de la première qui cède, ce qui rend la recherche exhaustive moins coûteuse.
Parcourir un espace de clés de 128 bits demande en moyenne 2127 essais. Si l'attaquant dispose du même clair connu chiffré sous 240 clés différentes, environ 288 essais suffisent pour en trouver une, puisque chaque tentative est confrontée à toute la collection d'un coup. Eli Biham a démontré le principe contre DES en 1996, et Daniel J. Bernstein a pris soin en 2005 de souligner combien les marges de sécurité en tiennent rarement compte.
C'est pourquoi TLS 1.3 n'emploie pas de simples numéros de séquence comme nonces d'AES-GCM, mais les combine par XOR avec un IV secret propre à chaque connexion. Bellare et Tackmann ont analysé précisément ce détail en 2016. Les autres parades sont ennuyeuses : des clés plus longues, ou veiller à ce que des utilisateurs différents ne chiffrent jamais le même bloc prévisible.