Atak wielokluczowy
Atakowanie wielu kluczy naraz i zadowolenie się tym, który padnie pierwszy — co tanieje wraz z liczbą celów.
Przy n-bitowym kluczu atak siłowy kosztuje 2n prób. Jeśli atakujący ma ten sam znany tekst jawny zaszyfrowany 2k różnymi kluczami, każde przypuszczenie można sprawdzić względem wszystkich szyfrogramów jednocześnie, a pierwsze trafienie nastąpi po około 2n−k próbach. Eli Biham pokazał, jak to wyglądało w przypadku DES w 2002 roku, a Daniel J. Bernstein zauważył w 2005, że 128-bitowe klucze w świecie miliardów sesji dają mniejszy zapas, niż sugeruje ta liczba.
Lekarstwem są dłuższe klucze i dbałość o to, by identyczny tekst jawny nie był szyfrowany w przewidywalny sposób. Dlatego TLS 1.3 domieszcza wyprowadzony sekret do każdego nonce w AES-GCM: inaczej przewidywalny pierwszy rekord dawałby atakującemu wspólny cel we wszystkich połączeniach.