An attack on $\mathrm{6}$ rounds of Khazad

Рассматриваются новые атаки на $64$-битовую блочную шифрсистему Khazad, использующие структурные свойства его раундовой функции. Найдено $14$ новых классов слабых ключей для $5$ и $6$ раундов Khazad. В частности, показано, что имеется $7$ классов слабых ключей для $5$ и $6$ раундов Khazad, каждый из которых содержит $2^{64}$ ключей. Нахождение слабого ключа в случае $5$ раундов использует $2^{35}$ обращений к $\mathrm{S}$-боксу, а в случае $6$ раундов $2^{43}$ обращений и $2^{32}$ подобранных открытых текстов.