弱鍵
ブロック暗号のDESには「弱鍵」と「準弱鍵」と称される特定の鍵がいくつかある。これらの鍵によってDESの暗号化モードがDESの復号モードと全く同じように動作する (異なる鍵のものとなる可能性はあるが)。
操作においては、56ビットの秘密鍵はDESの鍵スケジュール(英語版)に従って16個のサブ鍵に分割される。1つのサブ鍵は16回のDESラウンドのそれぞれで使用される。DESの弱鍵からは16個の全く同じサブ鍵が生成される。これは鍵 (16進数表記) が以下の場合に発生する:
交互に現れる1 + 0 (0x0101010101010101)
交互に現れる'F' + 'E' (0xFEFEFEFEFEFEFEFE)
'0xE0E0E0E0F1F1F1F1'
'0x1F1F1F1F0E0E0E0E'
実装がパリティビットを考慮しない場合、反転したパリティビットを持つ鍵も弱鍵として機能する可能性がある:
すべてゼロ (0x0000000000000000)
すべて1(0xFFFFFFFFFFFFFFFF)
'0xE1E1E1E1F0F0F0F0'
'0x1E1E1E1E0F0F0F0F'
弱鍵を使うと、DESの鍵スケジュールの転置選択肢1 (PC1) の結果から、すべてゼロのパターン、すべて1のパターン、またはゼロと1が交互に現れるパターンのいずれかであるラウンド鍵が生成される。
すべてのサブ鍵が同一であり、DESがFeistelネットワークであるため、暗号化機能は自己反転的である。つまり、暗号化を1度適用するとセキュアに見える暗号文が得られるが、暗号化を2度適用すると元の平文が生成される。
英国は1942年の夏と秋にT52の通信を初めて検出した。通信リンクの1つはシチリアとリビア間のもので「チョウザメ (Sturgeon)」のコードネームが付けられ、もう1つはエーゲ海からシチリアに向かうもので「サバ (Mackerel)」のコードネームが付けられた。両リンクの操作者は習慣的に同じ暗号機設定で複数のメッセージを暗号化しており、そのため大量のdepthが生成された。
T52にはいくつかの (大半は互換性のない) バージョンがあった。T52aとT52b (電気ノイズ抑制の点だけが異なっていた)、T52c、T52d、そしてT52eである。T52a/bとT52cは暗号理論的に弱かったが、最後の2機種はより高度な機器であった。ホイールを進めるかどうかの決定はホイール自体をホイールからの入力データとして受け取る論理回路によって制御されたため、ホイールの動きが散発的であった。
加えて、コンセプト上の欠陥 (非常に微妙なものを含め) が取り除かれた。そのような欠陥にはキーストリームを特定の点にリセットする機能があったが、これが原因で訓練されていない暗号機操作者が鍵を再利用してしまっていた。