FF3
O irmão mais rápido do FF1 no padrão de criptografia que preserva o formato do NIST — quebrado, remendado e quebrado de novo.
O FF3 se baseia na construção BPS de 2010: uma rede de Feistel de oito rodadas com um tweak fixo de 64 bits, dividido ao meio e alternado entre as rodadas. Menos rodadas que o FF1 o tornaram mais rápido, que era justamente a ideia.
Em 2017, Durak e Vaudenay mostraram que o tratamento do tweak podia ser explorado: combinando pares de tweaks, um atacante recuperava valores cifrados em domínios pequenos com uma quantidade prática de dados. O NIST respondeu com o FF3-1, reduzindo o tweak para 56 bits. Em 2021, Tim Beyne publicou um ataque linear ao FF3-1, e um rascunho do NIST de 2025 propôs retirar o modo do padrão de vez. Sobra o FF1, o candidato mais lento e mais chato — o que, em criptografia, costuma ser elogio.