確率的中立ビット

この概念は2008年にジャン=フィリップ・オーマソンらが、New Features of Latin Dancesという魅力的な題の論文で、Salsa20とChaChaについて提示した。攻撃者はまず、数ラウンド先でバイアスのかかったビットを生む差分を見つけ、次に出力から鍵を仮定して逆向きに計算し、そのバイアスが現れるかどうかを確かめる。

要点は、多くの鍵ビットがこの逆方向の計算にはほとんど効かないことだ。これが「中立」ビットで、間違った値を入れてもバイアスが少し薄まるだけである。そこで攻撃者は重要なビットだけを推測し、残りは適当に埋める。探索空間は劇的に縮む。縮約ラウンド版ChaChaに対する後続の改良は、ほぼすべてこの発想の上にある。ただし、フル20ラウンドのChaCha20には依然としてまったく手が届かない。