マルチキー攻撃
多数の鍵を同時に攻撃し、最初に破れたものでよしとする手法。標的が多いほど安く済む。
nビットの鍵に対する総当たりは 2n 回の試行が必要だ。しかし同じ既知平文が 2k 個の異なる鍵で暗号化されていれば、1回の推測をすべての暗号文に対して同時に確かめられ、最初の当たりは約 2n−k 回の試行で訪れる。エリ・ビハムが2002年に DES に対してこれを示し、ダニエル・J・バーンスタインは2005年に、何十億ものセッションがある世界では128ビット鍵の余裕は数字ほど大きくないと指摘した。
対策は、より長い鍵を使うことと、同一の平文が予測可能な形で暗号化されないようにすることだ。TLS 1.3 が AES-GCM のナンスごとに導出した秘密を混ぜ込むのはそのためで、そうしないと予測可能な最初のレコードが、全接続に共通の標的を攻撃者に与えてしまう。