パイリングアップ補題

独立な線形近似をXORで組み合わせると、バイアスは掛け合わされる。バイアスがε₁…εₙのn個の近似式なら、合成後のバイアスは2^(n−1)·ε₁·…·εₙとなる。近似式を1つ足すたびに信号は縮むので、長い攻撃ほど、本物の偏りをノイズから分けるために多くの既知平文・暗号文の組が必要になる。

松井充は1993年のDESに対する線形攻撃でこの補題を用いた。補題は近似式が独立であることを前提とするが、実際の暗号が厳密にそうなることは稀である。したがって予測されるバイアスは見積もりにすぎず、暗号解読者は攻撃を信用する前に実験で確かめる。