Ataque de correlação rápida
Refinamento do ataque de correlação que trata o keystream como uma palavra-código ruidosa e decodifica o estado do registrador em vez de tentar adivinhá-lo.
O ataque de correlação original de Siegenthaler testava todos os estados iniciais de um registrador, o que deixa de ser viável quando os registradores ficam longos. Willi Meier e Othmar Staffelbach mostraram em 1988 que dá para fazer bem melhor. O polinômio de realimentação de um LFSR gera equações de verificação de paridade que toda sequência de saída genuína precisa satisfazer, e com elas o atacante corrige iterativamente os bits do keystream que provavelmente divergem do registrador. É decodificação com correção de erros, só que ao contrário.
O ataque é especialmente eficaz quando o polinômio de realimentação tem poucas derivações (taps), escolha popular justamente por ser barata em hardware. Variantes da técnica ajudaram a derrubar o E0 do Bluetooth em 2005. Registradores baratos acabaram saindo caro de outras maneiras.