Существуют known unknowns и unknown unknowns. Первые заключаются в том, что в алгоритме, как он описан, есть дырки, которые можно найти существующими методами. И для этого анализ алгоритма вполне подходит. Вторые заключаются в том, что в алгоритме есть дырки, которые существующими методами анализа алгоритмов не обнаруживаются.
Понятно, что такое может случиться с любым алгоритмом, однако с алгоритмом, разработанным в NSA, есть повышенный риск того, что а) NSA уже знает, что эти дырки существуют, и имеет методы работы с ними, широкой общественности неизвестные и б) NSA намеренно разрабатывает алгоритмы таким образом, чтобы эти дырки в алгоритме были, давая, тем самым, NSA уникальную возможность доступа к данным, которые другие полагают недоступными.
Опять же понятно, что такое может случиться с любым алгоритмом - например, NSA может иметь способ сломать алгоритм, разработанный третьей стороной, и никто, кроме них, может этого не знать. Однако, по-моему, очевидно, что такой риск выше, когда алгоритм разрабатывает NSA. Особенно учитывая, что мы знаем, что ни моральных, ни профессиональных, ни институциональных барьеров, предотвращающих такое поведение, в NSA нет, а как бы даже совсем наоборот.
Если бы NSA был единственным источником криптографических алгоритмов - то пришлось бы этот риск терпеть и брать что дают. Однако, к счастью, это далеко не так. И в этих условиях подвергать себя повышенному риску нет никакой причины. Разумным поведением в таких условиях будет никогда не пользоваться никакими алгоритмами, разработанными в NSA, если только это возможно и если ущерб от раскрытия данных выше дифференциальной стоимости использования других алгоритмов.