マルチターゲット攻撃

128ビットの鍵空間を探索するには、平均で2¹²⁷回の試行が必要になる。ところが同じ既知平文が2⁴⁰個の異なる鍵で暗号化されていれば、各推測を鍵の集合全体と一度に照合できるため、約2⁸⁸回の試行でどれか一つに当たる。1996年にEli BihamがDESに対してこの原理を示し、2005年にはDaniel J. Bernsteinが、安全余裕の見積もりにこの観点がいかに入っていないかを指摘した。

TLS 1.3がAES-GCMのnonceにシーケンス番号をそのまま使わず、接続ごとの秘密のIVとXORするのはこのためだ。2016年にBellareとTackmannがまさにこの点を解析している。ほかの対策は地味なもので、鍵を長くするか、異なる利用者が同じ予測可能なブロックを暗号化しないようにすることである。