Probabilistyczne bity neutralne
Bity klucza, które prawie nie wpływają na mierzalne obciążenie, więc atakujący może je pominąć przy zgadywaniu.
Pojęcie wprowadził w 2008 roku Jean-Philippe Aumasson ze współpracownikami, w artykule o nieodpartym tytule New Features of Latin Dances, poświęconym Salsa20 i ChaCha. Atakujący najpierw znajduje różnicę dającą obciążony bit kilka rund w głąb, a następnie liczy wstecz od wyjścia przy zgadniętym kluczu, by sprawdzić, czy obciążenie się ujawnia.
Sedno w tym, że wiele bitów klucza ma znikomy wpływ na to obliczenie wsteczne. Nazywa się je neutralnymi: ustawione błędnie, tylko nieco osłabiają obciążenie. Atakujący zgaduje więc tylko bity istotne, a resztę wypełnia losowo, co radykalnie zmniejsza przestrzeń poszukiwań. Niemal każde późniejsze ulepszenie ataków na ChaCha o zredukowanej liczbie rund opiera się na tym pomyśle. Pełny, 20-rundowy ChaCha20 pozostaje daleko poza zasięgiem.