Предел дней рождения
Сколько данных блочный шифр может безопасно обработать под одним ключом, пока коллизии блоков не начнут утекать информацию, — порядка 2n/2 блоков для n-битного блока.
Потолок задаёт размер блока, а не длина ключа. В CBC два одинаковых блока шифртекста рано или поздно неизбежны, а когда они появляются, то выдают XOR двух блоков открытого текста. У CTR обратная проблема: его блоки никогда не повторяются, и это само по себе выдаёт, что поток не случаен. При 64-битных блоках — DES, 3DES, Blowfish — предел лежит около 232 блоков, то есть примерно 32 ГБ.
Годами это было сноской в учебниках, потому что никто не гнал столько данных под одним ключом. Затем пришли долгоживущие HTTPS-соединения и Sweet32 в 2016 году, восстановивший cookie из трафика 3DES именно по этой арифметике. 128-битные блоки AES сдвигают предел к 264, хотя режимы вроде AES-GCM со случайными nonce накладывают собственные, куда более скупые ограничения.