DES

Data Encryption Standardは1977年に米国連邦標準として採用された、IBMのLuciferを土台とする暗号である。64ビットブロック、16段のFeistel構造、56ビット鍵からなる。IBMの原案は128ビットで、NSAはそれよりさらに短くしたがり、折衷の結果は採用直後から「意図的な弱体化」と批判された。

NSAはS-boxも理由を説明しないまま変更しており、これが15年にわたりバックドア疑惑を呼んだ。1990年にBihamとShamirが差分解読法を発表すると、その変更はまさにこの攻撃に対してDESを強くしていたと判明した。NSAは1974年にはこの手法を知っていたのである。ただし鍵長は実際に短すぎた。1998年、EFFのDeep Crackマシンは25万ドル未満でDESの鍵を56時間で割り出した。2001年にAESに置き換えられた。