Linjär approximationstabell
En tabell över hur väl varje linjär kombination av en S-box ingångsbitar förutsäger varje kombination av dess utgångsbitar.
För varje par av ingångsmask a och utgångsmask b räknar tabellen hur många indata x som uppfyller a·x = b·S(x), minus hälften av alla möjliga indata. Ett värde nära noll betyder att relationen gäller ungefär lika ofta som slumpen; ett stort absolutvärde är en bias som en linjär attack kan bygga på. Tabellen är den linjära motsvarigheten till den differentiella fördelningstabellen.
Mitsuru Matsui använde den här typen av tabeller när han 1993 bröt DES med linjär kryptoanalys. AES S-box har ett största absolutvärde på 16 av 128, motsvarande korrelationen 2−3, vilket är det bästa man känner till för en 8-bitars permutation. Det låter litet, men styrkan kommer först när dussintals aktiva S-boxar över tio rundor multiplicerar ner biasen mot noll.