非線形不変量攻撃
不変部分空間攻撃の一般化で、保存されるパターンが部分空間ではなく非線形ブール関数になったもの。
Todo、Leander、Sasakiは2016年に、ラウンド関数Fに対してg(x) ⊕ g(F(x))が定数になるような関数gを見つければ十分だと示した。すると、該当する鍵であればラウンド数に関係なく、平文のgが暗号文のgを予測する。線形解読法と違って確率的な要素はなく、関係は確実に成り立つか、まったく成り立たないかのどちらかだ。
この攻撃はSCREAM、iSCREAM、Midori64の弱鍵クラスを破り、動作モードによっては既知の暗号文だけで平文の情報が漏れた。部分空間攻撃と同様、原因は貧弱な鍵スケジュールと単純すぎるラウンド定数にある。軽量暗号が、ゲートを一つ削りすぎたのである。