Тот же Schneier писал где-то ранее, что, в том, что касается unknown unknowns, при всём неизвестном отрыве NSA от академии/открытой индустрии в части криптоанализа, довольно маловероятно, что у них есть техники, которые позволяют полностью ломать некий алгоритм без палёных констант и прочих относительно хорошо видимых трюков, и при этом эти техники настолько неизвестны академии/открытой индустрии, что никто не сможет даже предположить теоретических будущих слабостей в этом алгоритме. К тому же, если у них такие техники есть, for all we know, we're screwed anyway.

Соображение про NSA как источник алгоритмов кажется мне, очевидно, крайне сомнительным. Если у них есть эти самые магические техники криптоанализа в отношении некоторых алгоритмов, и если мы предсказуемо реагируем (например, отрицательно) на рекомендации NSA, ничто не мешает им продвигать алгоритмы от третьих лиц с известными NSA слабостями, пользуясь предсказуемостью нашей (например, отрицательной) реакции.

Наконец, NSA вообще-то занимается не только SIGINT-ом, но и COMSEC-ом. Ну то есть инпут от них по поводу DES 40 лет назад оказался, мягко говоря, довольно полезным. Да, история с Dual_EC_DRBG стрёмная, но там как раз с самого начала были видны палёные константы.