Bits neutros probabilísticos
Bits da chave que quase não afetam um viés mensurável e que, por isso, o atacante pode dispensar de adivinhar.
Jean-Philippe Aumasson e colegas introduziram o conceito em 2008, num artigo com o título irresistível New Features of Latin Dances, sobre Salsa20 e ChaCha. O atacante primeiro encontra um diferencial que produz um bit enviesado algumas rodadas adiante e depois calcula de trás para frente a partir da saída, sob uma chave suposta, para ver se o viés aparece.
O ponto é que muitos bits da chave quase não importam para esse cálculo reverso. Eles são chamados de neutros: se forem errados, o viés só enfraquece um pouco. Assim, o atacante adivinha apenas os bits significativos e preenche o resto ao acaso, o que reduz drasticamente o espaço de busca. Quase todo avanço posterior contra o ChaCha de rodadas reduzidas se apoia nessa ideia. O ChaCha20 completo, com 20 rodadas, continua muito fora de alcance.