部分和攻撃

インテグラル攻撃では、2³²個の選択平文にわたって状態を足し合わせ、鍵の推測ごとに和が0になるかを調べる。素朴にやると、各推測がすべての平文を走査することになる。FSE 2000で、Niels Ferguson、John Kelsey、Bruce Schneier、David Wagnerら7名は、データを部分和のカウンタに圧縮しながら鍵バイトを一つずつ推測すれば、ステップごとの作業が掛け算でなく縮小することを示した。

結果として6ラウンドのAESに対する攻撃が約2⁴⁴回の演算で可能になり、従来の約2⁷²から下がった。この手法はインテグラル解読の定番だが、フルラウンドのAESはなお破られていない。