Atak bumerangowy na powiązane klucze

Biham, Dunkelman i Keller sformalizowali tę kombinację w 2005 roku: weźmy atak bumerangowy Wagnera, dodajmy model powiązanych kluczy i użyjmy różnic kluczy do kasowania różnic stanu dokładnie w tych rundach, w których różnice byłyby najsłabsze. Cztery klucze zamiast jednego znacznie skracają ścieżki przez szyfr.

Technika jest najbardziej znana z ataku Biryukova i Khovratovicha z 2009 roku na pełny AES-256, o koszcie rzędu 2^99,5. Po raz pierwszy cały AES-256 padł szybciej niż w ataku siłowym w jakimkolwiek modelu – co przy okazji przypomina, że AES-256 ma słabszy harmonogram kluczy niż AES-128. W praktyce nic się nie zmienia: rozsądny protokół nigdy nie daje atakującemu kluczy o wybranych zależnościach.