Los diseñadores afirmaron que 16 rondas serían suficientes para los métodos conocidos de ataque, pero especificaron 32 rondas para asegurarse de la robustez del algoritmo contra futuros descubrimientos en criptoanálisis.