二重DES

異なる56ビットの鍵で2回暗号化すれば、実効鍵長は112ビットになる。そう考えられていた。ところが1977年には早くもWhitfield DiffieとMartin Hellmanが、攻撃者は作業を半分に分けられると示している。片側から暗号化し、もう片側から復号して、中間値を表で突き合わせればよい。必要な計算量は2¹¹²ではなく、およそ2⁵⁶で済む。

対策として生まれたのが、暗号化・復号・暗号化の順に3回行うTriple DESだ。有効ではあったが遅く、大量のデータを扱うようになると64ビットブロックも問題になった。