קריפטואנליזה ליניארית – הבדלי גרסאות

שמתקיימת בהסתברות ש/ל <math>1/2+2(3/4-1/2)(1/4-1/2)=3/8</math> עם הטיה <math>-1/8</math>. למרות שהיא מתבססת על ההנחה שהקירובים הליניאריים של כל סבב בלתי תלויים שהיא הנחה לא מדויקת, בפועל היא עובדת היטב. עבור הסבב השלישי אפשר להבחין ש:

:<math>V_{3,6} \oplus V_{3,8} = U_{3,6}</math> בהסתברות <math>1/4</math> וכן

היות שמתקיים <math>U_{3,6} = V_{2,6} \oplus K_{3,6}</math> וכן <math>U_{3,14} = V_{2,8} \oplus K_{3,14}</math> מתקבלת המשוואה הבאה:

:<math>V_{3,6} \oplus V_{3,8} \oplus V_{3,14} \oplus V_{3,16} \oplus V_{2,6} \oplus K_{3,6} \oplus V_{2,8} \oplus K_{3,14} = 0</math>