代数的攻撃

考え方としては、すべてのS-boxとすべてのラウンドを、鍵ビットと平文に関する多項式方程式で表す。連立系が十分小さいか、式の数が未知数より十分多ければ、グレブナー基底や線形化で解ける。2002年にクルトワとピエルジクは、AESをこの方法で攻撃できると主張したが、実用的な解読に結びつけるのは難しいままだ。

魅力的な発想であると同時に、もどかしい発想でもある。方程式系の大きさが、ソルバーの能力より速く増えるためだ。この手法がこれまで最も成果を上げたのは小規模な暗号や意図的に単純化した暗号で、たいていは別の手法と組み合わせて使われた。