Таблица линейных приближений (LAT)
Таблица того, насколько хорошо каждая линейная комбинация входных битов S-блока предсказывает каждую комбинацию его выходных битов.
Для каждой пары входной маски a и выходной маски b таблица считает, сколько входов x удовлетворяют равенству a·x = b·S(x), и вычитает половину всех возможных входов. Значение около нуля означает, что соотношение выполняется примерно так же часто, как при случайности; большое по модулю значение — это смещение, на которое может опереться линейная атака. По сути это линейный двойник таблицы распределения разностей.
Такими таблицами пользовался Мицуру Мацуи, когда в 1993 году взламывал DES линейным криптоанализом. У S-блока AES максимальная абсолютная запись равна 16 из 128, то есть корреляция 2−3 — лучший известный результат для 8-битной перестановки. Звучит скромно, пока десятки активных S-блоков за десять раундов не перемножат смещение почти до нуля.