Bezpieczeństwo faktyczne kryptosystemu zależy zarówno od algorytmu, jak i od rozmiaru przestrzeni faktycznie używanych kluczy (atak słownikowy); wybranie zbyt skomplikowanego klucza zwykle pociąga za sobą konieczność jego zapisania (ataki socjotechniczne) szyfrowanie zwykle jest przeprowadzane przez oprogramowanie komercyjne, często pisane bez właściwej analizy implementacji skądinąd doskonałych algorytmów szyfrowania. Nawet najbezpieczniejszy algorytm szyfrowania nie zapewnia bezpieczeństwa, jeśli został niewłaściwie zaimplementowany (np. użyto zbyt prymitywnego generatora liczb losowych); oprogramowanie działa w środowisku systemu operacyjnego, który zwykle (dla typowych, popularnych systemów operacyjnych) nie posiada mechanizmów zabezpieczających przed np. odczytaniem danych z pamięci czy z klawiatury w momencie ich zapisywania, lub np. odtworzenia możliwych ziaren generatora liczb losowych (jeśli np. używa się jako ziarna danych z zegara systemowego); oprogramowanie działa w środowisku z dostępem do sieci Internet, co ułatwia zastosowanie modyfikowanych ataków słownikowych;