参考答案：

双重DES可能遭到中途相遇攻击。该攻击不依赖于DES的任何特性，可用于攻击任何分组密码。

具体攻击如下：

假设C=E_K2[E_K1[M]]，则有X=E_K1[M]=D_K2[C]

首先用2⁵⁶个所有可能的密钥K1对M加密，将加密结果存入一表并对表按X排序。然后用2⁵⁶个所有可能的密钥K2对C解密，在上表中查找与C解密结果相匹配的项，如找到，记录相应的K1和K2。最后再用一新的明密文对检验上面找到的K1和K2。

以上攻击的代价（加密或解密所用运算次数）<=2×2⁵⁶，需要存储2⁵⁶×64比特。抵抗中间相遇攻击的一种方法是使用3个不同的密钥作3次加密，从而可使已知明文攻击的代价增加到2¹¹²。