Conditionele differentiële cryptanalyse
Differentiële cryptanalyse van schuifregistercijfers, waarbij de aanvaller initialisatievectoren kiest die het verschil voorspelbaar laten doorwerken.
Simon Knellwolf, Willi Meier en María Naya-Plasencia introduceerden de methode in 2010. Hun doelwit waren cijfers op basis van niet-lineaire terugkoppelschuifregisters (NLFSR) – Grain, Trivium, KATAN. In die ontwerpen wordt elk nieuw bit via AND-poorten ingemengd, dus of een verschil uitdooft of zich voortplant hangt af van de omliggende bits.
De truc is om voorwaarden op te leggen: kies IV-bits zo dat de AND-termen die het verschil zouden uitsmeren vastliggen. Sommige voorwaarden hangen van sleutelbits af, dus wie een afwijkende uitvoer ziet, heeft iets over de sleutel geleerd. De verwantschap met de kubusaanval ligt voor de hand – beide buiten uit dat wie de IV beheert, het begin van de berekening beheert. Het volledige Grain v1 en Trivium hebben het overleefd; varianten met minder rondes niet.