Cryptanalyse linéaire multiple
Au lieu d'une seule approximation linéaire, l'attaquant en utilise plusieurs à la fois et additionne leurs contributions pour obtenir un signal statistique plus fort.
La cryptanalyse linéaire ordinaire repose sur une seule approximation vraie avec une probabilité légèrement différente de un demi. En 2004, Biryukov, De Cannière et Quisquater ont montré qu'on peut combiner de nombreuses approximations d'un même chiffrement et mettre en commun ce qu'elles disent des bits de clé. Le signal se renforce, et le nombre de couples clair-chiffré connus nécessaires diminue.
Le prix à payer est la comptabilité : il faut suivre les corrélations entre approximations, et un ensemble mal choisi peut produire des statistiques impressionnantes qui ne signifient rien. La technique est devenue un outil standard contre les chiffrements par blocs à nombre de tours réduit, domaine d'où provient encore la plupart des résultats publiés.