[Modifizierte Version - die etwas allgemeinere ursprüngliche Version ist weniger sicher.]

f wird als Zufallsgenerator gebraucht: s_i = f(s_i-1).

Dabei ist s₀ ein beliebiger »Initialisierungsvektor«.

Damit wird eine Bitstrom-Verschlüsselung durchgeführt: c_i = m_i XOR s_i.

Entschlüsselung:

• s_i = f(s_i-1),
• m_i = c_i XOR s_i.
• Zum Entschlüsseln wird also auch hier nur f benötigt, nicht f^-1.

Eigenschaften:

• Es gibt keine Diffusion, aber gleiche Klartextblöcke werden i. a. verschieden verschlüsselt.
• Im Falle S = F₂^r (Blocklänge r) handelt es sich um eine Bitstrom-Chiffre mit f als »Zufallsgenerator«.
• Wird eine besonders schnelle Ver- und Entschlüsselung benötigt, so kann man den »Schlüsselstrom« s_i auf beiden Seiten vorausberechnen.
• Auch hier wird zum Entschlüsseln nur f benötigt, nicht f^-1.