`第一轮 ·给定M1, MAC1=CK(M1) ·对所有2k个密钥判断MACi=CKi(M1) ·匹配数≈2(k-n) 。 `第二轮 ·给定M2, MAC2=CK(M2) ·对循环1中找到的2(k-n)个密钥判断MACi=CKi (M2) ·匹配数≈2(k-2n) 。 攻击者可以按此方法不断对密钥进行测试,直到将匹配数缩写到足够小的范围。平均来讲,若k=an,则需a次循环