Вероятностно нейтральные биты
Биты ключа, почти не влияющие на измеряемое смещение, а потому не требующие перебора со стороны атакующего.
Жан-Филипп Омассон с коллегами ввёл это понятие в 2008 году в статье с неотразимым названием New Features of Latin Dances — о Salsa20 и ChaCha. Сначала атакующий находит дифференциал, дающий смещённый бит через несколько раундов, затем вычисляет в обратную сторону от выхода при предполагаемом ключе и смотрит, проявляется ли смещение.
Суть в том, что многие биты ключа почти не влияют на это обратное вычисление. Их называют нейтральными: подставьте их неверно — смещение лишь слегка ослабнет. Атакующий угадывает только значимые биты, остальные заполняет случайно, и пространство перебора резко сокращается. На этой идее строятся почти все последующие улучшения атак на ChaCha с сокращённым числом раундов. Полный 20-раундовый ChaCha20 остаётся далеко за пределами досягаемости.