Even–Mansour 構成
真剣に検討されたものとしては最小のブロック暗号で、公開された置換を、鍵との二つの XOR で挟んだだけの構造である。
シモン・イーブンとイシャイ・マンスールが1991年に提案した。式は E(x) = k2 ⊕ P(x ⊕ k1) と、拍子抜けするほど単純で、P は誰もが知っている置換である。秘密は二つのホワイトニング鍵だけにある。二人は、攻撃者が破るには約 2n/2 回の問い合わせが必要だと証明し、ジョアン・ダーメンが同じ年にまさにその限界に達する攻撃を発表した。
2012年にダンケルマン、ケラー、シャミアは、単一の鍵 k1 = k2 でも同じ安全性が得られることを示した。この構成は鍵交替暗号の雛形で、AES は固定のラウンド置換の間にラウンド鍵を XOR で挟んだ、反復型 Even–Mansour と見ることもできる。安全性がブロックサイズの半分に留まるため、64ビットブロックでこれを組む人はいない。