Гипотеза рандомизации неверного ключа
Допущение, что расшифровка неверным ключом даёт случайно выглядящую статистику, так что верный ключ выделяется на её фоне.
Когда линейная или дифференциальная атака восстанавливает биты ключа, она частично расшифровывает последний раунд при каждом ключе-кандидате и проверяет, насколько хорошо выполняется приближение. Это работает, только если у неверных кандидатов смещение близко к нулю. Харпес, Крамер и Мэсси сформулировали допущение явно в 1995 году, хотя оно уже было заложено в Алгоритм 2 Мацуи.
В 2013 году Андрей Богданов и Эльмар Тишхаузер показали, что у неверных ключей смещение вовсе не нулевое, а нормально распределено вокруг нуля. Звучит как примечание, но это меняет объём данных, нужных атаке, и ряд опубликованных вероятностей успеха оказался завышенным. Криптоанализ — тоже статистика, а статистика забыла про дисперсию.