Стойкость DEAL’а
Что можно сказать о стойкости DEAL’а в целом? Прежде всего, заметим, что для DEAL простая атака meet-in-the-middle (встретить по середине), аналогичная такой атаке на двойной DES ,  отыщет ключи за время порядка 2168 зашифрований для шести и 2224 зашифрований для восьми циклов DEAL соответственно, независимо от расписания ключей. Именно поэтому, предлагается в DEAL-256 производить по крайней мере 8 циклов зашифрования. Для DEAL-128 исчерпывающий поиск ключа займет время порядка 2112 зашифрований.
Patarin в показал, что для того, чтобы отличить 5-и или 6-и цикловой n-битный Фейстелев шифр со случайной цикловой функцией от истинно случайной 2n-битной перестановки, требуется знать по крайней мере 22n / 3 открытых текстов и соответствующих им шифр-текстов. Далее он предполагает, что требуется 2n пар. Если считать, что DES моделирует случайную перестановку, то, по предположению Patarin’а, требуется порядка 264 зашифрований, чтобы отличить DEAL от случайной перестановки; такова же и сложность атаки по подобранному шифр-тексту. Самая быстрая из известных атак по нахождению ключа на DEAL (с шестью циклами), которую мы сознаем, – общая атака на 6-и цикловые Фейстелевы шифры , в приложении к DEAL, она требует порядка 2121 зашифрований DES, используя порядка 270 выбранных открытых текстов, для любого расписания ключей. В дальнейшем определим разность между двумя последовательностями бит, как побитное XOR.
Утверждение 1: Существует атака на шестицикловый DEAL с независимыми цикловыми ключами, которая требует порядка 2121 зашифрований DES, используя порядка 270 выбранных открытых текстов.
Доказательство: Рассмотрим 5-и цикловую версию и пару открытых текстов с разностью α ≠ 0 в правых частях и равными левыми частями. Предположим, что шифр-тексты после 5-и циклов имеют разность α в левых частях и равные правые части. Это означает, что в обоих зашифрованиях на входах DES (в цикловой функции DEAL) были одинаковые значения на первом и на пятом циклах. Далее, разность на входах DES и на втором и на четвертом циклах была α. Но отсюда следует, что выходы DES в третьем цикле равны, стало быть, и входы DES на третьем цикле тоже равны. Это ведет к противоречию, т. к. это означает, что выходы DES на втором и на четвертом циклах равны, что невозможно, т. к. мы предположили, что они не равны. Таким образом предположение, что разность между шифр-текстами после 5-и циклов равна α в левых и 0 в правых частях, не верно. Другими словами, мы определили 5-и цикловой дифференциал с нулевой вероятностью. Это может быть использовано для атаки на DEAL.
Атака происходит следующим образом. Выберем 264 открытых текстов с фиксированными левыми и различными правыми частями, обозначим их  при i = 1, …, 264. Обозначим соответствующие им шифр-тексты . Вычислим  и найдем совпадения при i ≠ j. Можно ожидать порядка 263 таких совпадений: . Положим . Для всех таких совпадающих пар и для всех значений ключа в шестом цикле расшифруем один цикл шифр-текстов. Если разности после 5-и циклов равны α и 0, предполагаемое значение ключа не верно. Заметим, что при правильном значении ключа такие разности после 5-и циклов появиться не могут, но при неправильном они будут появляться с вероятностью 2-64 для каждой анализируемой пары. Таким образом с 263 парами порядка половины ключей будут отброшены. При повторении атаки 56 раз останутся возможными только немногие значения ключа в шестом цикле. В общем, атака требует 56 ∙ 264 ≈ 270 выбранных открытых текстов, (256 + 255 + 254 + … + 2+ 1) ∙ 264 ≈ 257 ∙ 264 = 2121 зашифрований DES и 264 слов памяти.	□
Вышеописанная атака, приложенная к DEAL-192 быстрее, чем исчерпывающий поиск ключа, хотя предпосылки весьма нереалистичные. Если атакующему удастся найти 264 или более пар открытых и шифр-текстов, может войти в игру атака по подобранному шифр-тексту, и в любом случае понадобится шифр с большим размером блока. Наиболее изученная атака на DEAL-128 – исчерпывающий поиск ключа – требует времени порядка 2112 зашифрований. Мы не нашли атаки на DEAL с восемью циклами лучшей, чем вышеописанный исчерпывающий поиск ключа «meet-in-the-middle». Может быть, существуют и более быстрые атаки, например, удачное обобщение вышеприведенной атаки на 6 циклов, но такого плана атаки потребуют нереальное количество выбранных открытых текстов и нереальный объем памяти.
Атака на 6 циклов объясняет наши рекомендации – использовать для DEAL r ≥ 6. При r ≤ 5 возможно указать дифференциалы с нулевой вероятностью. Это означает, что для некоторых разностях в парах открытого текста, некоторые другие разности невозможны в соответствующих парах шифр-текста. Прежде всего, такого свойства нет у некоторых современных блочных шифров, потом, такие дифференциалы могут быть использованы в атаках по вскрытию ключа со сложностью порядка 288 для DEAL только с 5-ю циклами . (Заметим, что такая атака – только верхний предел уровня защищенности).
В конце этого раздела подведем итог особенностям DEAL.
•	DEAL имеет размер блока 128 бит и размер ключа 128, 192 или 256 бит (действующий размер, соответственно,– 112, 168 или 224 бита).
•	Атака по подобранному шифр-тексту требует порядка 264 блоков шифр-текста.
•	Нет известных, вероятных атак.
•	DEAL с шестью циклами имеет скорость, аналогичную скорости тройного DES.
•	DEAL может использоваться в стандартных режимах работы.
•	DEAL может быть реализован на имеющемся аппаратном и программном обеспечение DES.
•	Нет очевидно слабых ключей и устранено свойство дополнительности.
Наконец, позволим себе заметить, что ввиду довольно сложного расписания ключей, DEAL не практично использовать в случайных функциях.