Allgemein

Zusätzlich zu den o.g. Eigenschaften der Algorithmen kann rückblickend auf die 10 Jahre Entwicklungsarbeit ``leider'' nur gesagt werden, daß es offenbar keine ernst zu nehmenden veröffentlichten Angriffe gibt, die den Algorithmus in der Praxis aushebeln könnten.

Vereinfachte Versionen der Algorithmen haben zu Analysezwecken jedoch geholfen, die Sicherheit besser zu bewerten, z.B. ist bei jew. bis zu 6 Runden unter vereinfachten Bedingungen (keine Rotation, vereinfachter Operationen-Mix, $\hdots$) von ``Non-Surjective Attacks'' und ``HOD Attacks'' berichtet worden. Dies liegt an der Natur des Algorithmus: Erst nach 7 Runden ist jedes der 128 Ausgabebits von jedem Eingabebit abhängig [6].

Desweiteren werde ich im folgenden der Vollständigkeit halber einige mögliche (hier bislang erfolglose) Angriffe aufzählen:

Nur-Kryptotext-Angriff (Ciphertext Only Attack):

Nach $2^{^n/_2}=2^{64}$ Blöcken (mit $n=\textrm{Blockgr\uml o\ss e}$) im CBC-Modus liegt die Wahrscheinlilchkeit bereits bei 1/2, daß es einen XOR-Zusammenhang zwischen zwei Klartexten gibt.

Bekannter-Klartext-Angriff (Known Plaintext Attack):

Lineare Kryptoanalysis -- verwendet Häufungen im Auftreten linearer Zusammenhänge zwischen Eingabe, Schlüssel und Ausgabe der Rundenfunktion einer Produktchiffre

Gewählter-Klartext-Angriff (Chosen Plaintext Attack):

Differentielle Kryptoanalysis -- verwendet Häufungen bei der Differenzenverteilung in der Ausgabe bei bestimmten Differenzen in der Eingabe der Rundenfunktion einer Produktchiffre

Gewählter-Schlüssel-Angriff (Chosen Key Attack):

Verwendet Zusammenhänge zwischen ``Primary Key'' und Rundenschlüsseln

Ähnlicher-Schlüssel-Angriff (Related Key Attack):

Nutzt Zusammenhang zwischen aufeinanderfolgenden Rundenschlüsseln aus

Angriff höheren Grades (Higher Order (HOD) Attack):

Verallgemeinerung differentieller Angriffe

Nicht-Surjektivitäts-Angriff (Non Surjective Attack):

Statistischer Angriff, der nicht-surjektive Rundenfunktionen ausnutzt

Kombinierter Angriff (Combination Attack):

Kombination aus o.g. Verfahren

Da auch keine schwachen Schlüssel oder semi-schwachen (als Paar verwendeten) Schlüssel bekannt sind, können alle bekannten Schlüssel verwendet werden.