Attacco boomerang a chiavi correlate
Un attacco boomerang in cui le due metà del differenziale possono operare anche con chiavi diverse ma correlate.
Biham, Dunkelman e Keller formalizzarono la combinazione nel 2005: si prende l'attacco boomerang di Wagner, si aggiunge il modello a chiavi correlate e si usano le differenze tra chiavi per annullare quelle di stato proprio nei round in cui i differenziali sarebbero più deboli. Quattro chiavi invece di una accorciano parecchio i percorsi attraverso il cifrario.
La tecnica è nota soprattutto per l'attacco di Biryukov e Khovratovich del 2009 ad AES-256 completo, con un costo di circa 299,5. Fu la prima volta che l'intero AES-256 cedeva più in fretta della forza bruta in un qualsiasi modello, a ricordare che AES-256 ha una schedulazione delle chiavi più debole di AES-128. In pratica non cambia nulla: un protocollo sensato non consegna mai a un attaccante chiavi con relazioni scelte da lui.