Hypothèse de randomisation de la mauvaise clé
L'hypothèse selon laquelle déchiffrer avec une mauvaise clé candidate produit des statistiques d'allure aléatoire, de sorte que la bonne clé se détache du lot.
Quand une attaque linéaire ou différentielle récupère des bits de clé, elle déchiffre partiellement la dernière ronde sous chaque clé candidate et vérifie dans quelle mesure l'approximation tient. Cela ne fonctionne que si les mauvais candidats affichent un biais proche de zéro. Harpes, Kramer et Massey ont énoncé l'hypothèse explicitement en 1995, même si elle était déjà inscrite dans l'algorithme 2 de Matsui.
En 2013, Andrey Bogdanov et Elmar Tischhauser ont montré que les mauvaises clés ne donnent pas un biais nul, mais un biais distribué normalement autour de zéro. Cela ressemble à une note de bas de page, et pourtant cela change la quantité de données nécessaire à une attaque : plusieurs probabilités de succès publiées se sont révélées optimistes. La cryptanalyse est aussi de la statistique, et la statistique avait oublié la variance.