誤鍵ランダム化仮説
誤った鍵候補で復号すると統計的にランダムに見える結果になる、したがって正しい鍵だけが際立つ、という仮定。
線形解読や差分解読で鍵ビットを復元するときは、最終ラウンドをすべての鍵候補で部分復号し、近似がどれだけ成り立つかを調べる。これが機能するには、誤った候補のバイアスがほぼゼロでなければならない。この仮定を1995年に明示したのはHarpes、Kramer、Masseyだが、Matsuiのアルゴリズム2にはすでに暗黙のうちに組み込まれていた。
2013年、Andrey BogdanovとElmar Tischhauserは、誤鍵のバイアスは厳密にゼロではなく、ゼロ付近を中心とする正規分布に従うことを示した。脚注程度の話に聞こえるが、攻撃に必要なデータ量が変わり、発表済みの成功確率のいくつかは楽観的すぎたことになった。暗号解読もまた統計であり、その統計が分散を忘れていたわけだ。