Atak wielocelowy
Atakowanie wielu kluczy naraz i zadowolenie się tym, który pęknie pierwszy, co obniża koszt pełnego przeszukiwania.
Przeszukanie 128-bitowej przestrzeni kluczy wymaga średnio 2127 prób. Jeśli atakujący ma ten sam znany tekst jawny zaszyfrowany 240 różnymi kluczami, wystarczy około 288 prób, by trafić w którykolwiek z nich, bo każda zgadywana wartość jest sprawdzana od razu względem całego zbioru. Eli Biham pokazał tę zasadę na DES-ie w 1996 roku, a Daniel J. Bernstein w 2005 roku zwrócił uwagę, jak rzadko marginesy bezpieczeństwa to uwzględniają.
Dlatego TLS 1.3 nie używa gołych numerów sekwencyjnych jako nonce’ów AES-GCM, lecz łączy je XOR-em z tajnym wektorem IV danego połączenia. Dokładnie ten szczegół przeanalizowali Bellare i Tackmann w 2016 roku. Pozostałe środki obrony są nudne: dłuższe klucze albo dbanie o to, by różni użytkownicy nigdy nie szyfrowali tego samego przewidywalnego bloku.