選択鍵攻撃

既知鍵モデルをさらに一歩進めたものだ。攻撃者は鍵を知るだけでなく、鍵を選ぶ。目的は秘密の復元ではなく、識別器、つまり理想的なランダム置換には備わらない性質を示すことにある。2009年にアレックス・ビリュコフ、ドミトリー・ホフラトヴィチ、イヴィツァ・ニコリッチが完全なAES-256に対して識別器を作った。比較的単純な鍵スケジュールが、誰も望まないほどの構造を抱えていたのだ。

ランダムなAES鍵で暗号化する分には、誰も眠れなくなる必要はない。このモデルが問題になるのは、Davies–Meyerのようにブロック暗号をハッシュ関数に組み込む場合だ。そこではメッセージが鍵になるため、攻撃者が鍵を選べてしまう。