Почему невозможно атаковать AES, создав функцию для моделирования замены, которая происходит в s-блоке?

Я понимаю, что s-боксы могут сделать преобразования, выполняемые в AES, нелинейными. Однако я не уверен, как это делает AES безопасным. Например, если бы у нас не было блока s, то можно было бы вычислить ключ из набора линейных уравнений:

$C^1=Ах+к$

$С^2=АС^1+к$

...

$y=AC^n+k$

Где A — линейное преобразование, k — ключ, C — промежуточные зашифрованные тексты, n — количество раундов шифрования, x — вход и y — конечный результат.Однако, если мы добавим блок S, то нельзя будет представить замену, которую он выполняет, как функцию x, f(x), так что теперь мы имеем:

$C^1=Af(x)+k$

$C^2=Af(C^1)+k$

...

$y=Af(C^n)+k$

Что, как мне кажется, также становится жертвой исключения Гаусса (путем подстановки каждого уравнения в функцию следующего), хотя такую ​​функцию для подстановки, которая происходит в s ячейках, может быть чрезвычайно сложно вывести. Если нам дано несколько значений x, которые подвергаются шифрованию с использованием одного и того же ключа, и что s блоков общеизвестны, мы должны быть в состоянии вычислить ключ. Я понимаю, что на самом деле этого не может произойти, иначе AES вообще не использовался бы, поэтому я был бы очень признателен за любую помощь в определении того, где я ошибся / как S-блоки будут мешать, чтобы предотвратить использование такого метода :)

Если я правильно понял, вы предлагаете обрабатывать промежуточные значения $C^i$ как переменные.

Проблема в том, что $f(C^i)$ является нелинейным и содержит больше мономов, чем 128 переменных (поскольку нелинейность исходит из S-блока, количество мономов не более $256\раз16$). Следовательно, исключить его с помощью уравнения $С^я = ...$, и $C^i$ больше нигде не используется. Обратите внимание, что если вы добавите больше значений открытого/зашифрованного текста, переменные $C^i$ не совпадают, поэтому вы не можете использовать другую пару, чтобы исключить эти дополнительные мономы. Вместо этого добавляются дополнительные переменные.

Обратите внимание, что S-блок имеет слабость в том, что существуют квадратичный уравнения (над $GF(2)$), связывая его вход и выход (вместо прямых уравнений степени 7 S-блока), что значительно упрощает систему. Тем не менее, до сих пор никому не удалось показать способ решения такой или подобной системы быстрее, чем брутфорс по ключу AES.

Для справки: источником квадратных уравнений является то, что S-блок аффинно эквивалентен $GF(256)$ обратная функция $у=х^{254}$. У нас есть $ух^2=х^{256}=х$ и другие $ух^2-х=0$, который квадратичен по $GF(2)$ (разбивается на 8 уравнений).