Атака частичных сумм
Бухгалтерский приём, делающий square-атаку на AES дешевле на несколько порядков за счёт повторного использования промежуточных результатов.
Интегральная атака суммирует состояние по 232 выбранным открытым текстам и для каждой догадки о ключе проверяет, получился ли нуль. В лоб каждая догадка проходит по каждому тексту. На FSE 2000 Нильс Фергюсон, Джон Келси, Брюс Шнайер, Дэвид Вагнер и ещё трое соавторов показали, что байты ключа можно угадывать по одному, а данные сжимать в счётчики по частичным суммам — так работа на шаг сокращается, а не умножается.
Результатом стала атака на шестираундовый AES примерно за 244 операций вместо порядка 272. Приём остаётся основой интегрального криптоанализа, хотя полнораундовый AES по-прежнему стоит.