Атака отражением
Атака, использующая то, что раундовые ключи повторяются в обратном порядке, — одна часть шифра отменяет другую.
Технику формализовал Орхун Кара в 2008 году; главным примером стал ГОСТ 28147-89. Шифр трижды прогоняет восемь подключей в прямом порядке, а в последний раз — в обратном. Если после 24-го раунда левая и правая половины состояния случайно совпали — неподвижная точка перестановки Фейстеля, — то последние восемь раундов в точности расшифровывают то, что зашифровали раунды 17–24. Шифр внезапно оказывается 16-раундовым.
В 2011 году Таканори Исобе на этом наблюдении построил первую атаку на полный ГОСТ с одним ключом. Её сложность около 2224 непрактична, но она помогла оставить ГОСТ за бортом ISO/IEC 18033-3. Близкий родственник атаки скольжением: обе наказывают за симметрию в расписании ключей.