text: Для каждого возможного промежуточного состояния s n {\displaystyle s_{n}} вычисляется: s C n = D E C b n ( k b n , s n ) {\displaystyle sC_{n}=DEC_{b_{n}}(k_{b_{n}},s_{n})} ∀ k b n ∈ K {\displaystyle \forall k_{b_{n}}\in K} и при каждом совпадении s C n {\displaystyle sC_{n}} с элементом из H n {\displaystyle H_{n}} проверяется совпадение с T n − 1 {\displaystyle T_{n-1}} , после чего в T n {\displaystyle T_{n}} сохраняются k b n {\displaystyle k_{b_{n}}} и k f n {\displaystyle k_{f_{n}}} . s C n + 1 = E N C f n + 1 ( k f n + 1 , s n ) {\displaystyle sC_{n+1}=ENC_{f_{n+1}}(k_{f_{n+1}},s_{n})} ∀ k f n + 1 ∈ K {\displaystyle \forall k_{f_{n+1}}\in K} и при каждом совпадении s C n + 1 {\displaystyle sC_{n+1}} с H n + 1 {\displaystyle H_{n+1}} , проверяется совпадение с T n {\displaystyle T_{n}} Далее найденная последовательность кандидатов тестируется на иной паре открытого-/закрытого текста для подтверждения истинности ключей.