高階差分攻撃

1994年にラース・クヌーセンが、切断差分に関する論文でこの手法を導入した。根拠となるのは、代数次数dの関数のk階導関数はk > dのとき0になるという事実である。ラウンド関数の代数次数が低ければ、攻撃者は驚くほど少ない平文の集合から結論を引き出せる。

単純なS-boxのように代数次数の低い暗号に最も効き、軽量暗号の評価では定番の道具になっている。次数の高いS-boxを選べば、攻撃者の仕事はかなり難しくなる。