Атака на множество ключей (multi-key)
Атака сразу на много ключей с расчётом на тот, что сдастся первым, — и чем больше целей, тем она дешевле.
При n-битном ключе перебор стоит 2n попыток. Если у атакующего есть один и тот же известный открытый текст, зашифрованный на 2k разных ключах, каждую догадку можно проверить сразу по всем шифртекстам, и первое попадание наступит примерно через 2n−k попыток. Эли Бихам показал, как это выглядит на примере DES в 2002 году, а Дэниел Бернштейн в 2005-м отметил, что 128-битные ключи в мире миллиардов сеансов оставляют меньший запас, чем кажется по цифре.
Средства защиты — более длинные ключи и отказ от предсказуемого шифрования одинакового открытого текста. Поэтому в TLS 1.3 в каждый nonce для AES-GCM подмешивают производный секрет: иначе предсказуемая первая запись давала бы атакующему общую цель во всех соединениях.